注册
登录控制台
上传功能看起来只是让用户提交头像、附件或资料，但它往往连接着 Web 应用、对象存储、权限系统和后端解析程序。攻击者一旦绕过校验，就可能上传脚本木马、伪装图片、压缩包炸弹或带有恶意宏的文档。本文从入口校验、存储隔离、访问控制和日志审计四个角度，梳理一套适合中小网站和云服务器环境的上传安全加固清单。
一、先把上传入口做成“白名单”
上传安全的第一原则不是识别所有危险文件，而是只允许业务确实需要的文件类型。建议按业务场景建立扩展名、MIME、文件头三层校验，例如头像只允许 jpg、png、webp，合同附件只允许 pdf、docx、xlsx。不要只判断文件名后缀，因为攻击者可以构造 double extension、大小写混淆或特殊字符绕过。服务端应重新生成文件名，避免用户可控文件名进入路径、日志或页面输出。
二、上传目录不要给脚本执行权限
很多 WebShell 成功利用的关键并不是上传本身，而是上传目录可以执行 PHP、JSP、ASP 等脚本。Nginx 或 Apache 应对上传目录单独配置静态资源访问规则，禁止脚本解释和目录浏览。如果使用对象存储，建议开启私有桶或临时签名访问，不要把上传桶当成公开代码目录。对于需要预览的图片，可以通过缩略图服务输出，原文件不直接暴露。
三、文件处理链路要隔离
图片压缩、文档转码、压缩包解压和病毒扫描最好放在独立任务队列中完成，避免主站进程直接解析不可信文件。解压功能要限制文件数量、总大小、递归层级和路径穿越，拒绝包含 ../、绝对路径或超长文件名的压缩包。对需要杀毒的场景，可以把扫描状态写入数据库，只有扫描通过后才允许下载或分发。
四、权限与审计不能省
上传接口应接入登录态、CSRF 防护、频率限制和用户配额，避免被批量刷入垃圾文件。后台要能按用户、IP、文件类型和时间查询上传记录，异常时可以快速定位来源。对公网可访问的上传文件，建议统一加上缓存策略、Content-Disposition 和 X-Content-Type-Options，降低浏览器误解析风险。
上传安全不是单点功能，而是一条从用户提交、服务端校验、文件存储、异步处理到下载访问的完整链路。八彩云技术文档持续整理云服务器、建站安全和网络安全相关实践，帮助站长把常见风险提前挡在入口处。