java - 如何在java中保证文件上传的安全

Question

我正在使用 java 开发一个 Web 应用程序，用户将在其中上传 zip 文件。该文件将包含css文件、图像、javascript文件、flash文件等。zip文件将上传到tomcat的webapp目录中。目的是用户将皮肤作为 zip 文件上传，我的 servlet 会将其提取到 Web 应用程序中的某个位置。

我关心的是如何处理这里的安全问题。用户可以在js文件或其他文件中编写xss攻击代码。所有文件都在 zip 文件内。我可以检查 zip 文件的扩展名或 mime 类型。除此之外，我还可以采取哪些其他措施来防止任何类型的攻击。任何类型的示例、代码片段都将受到高度赞赏。

Answer 1

您的问题没有指定您将如何处理上传的内容，但如果您想在您的网站上运行此内容，那么答案是您确实不希望人们能够上传自己的 JavaScript 。在您这边运行的任何外部代码都可能会改变任何内容，并使您的网站以您无法承担责任的方式运行。只需阅读the Wikipedia entry on clickjacking被说服。

通过删除 script 标记来清理所有 HTML，以防止 JavaScript 执行，不允许自定义 JavaScript，并且对于所有自定义需求，请遵循 @greyfairer 使用带有脚本检查的配置文件的建议。

如果您担心用户将对您的网站执行什么操作，还请确保对上传文件的大小进行限制(请参阅网络服务器文档)。