Bảo mật file upload trong ứng dụng web

File upload là bề mặt tấn công lớn

Upload ảnh hoặc tài liệu tưởng đơn giản nhưng có thể mở ra nhiều rủi ro: file độc hại, quá tải storage, lộ dữ liệu và thực thi ngoài ý muốn.

Đừng chỉ tin MIME type từ client. Hãy kiểm tra extension, MIME, magic bytes và giới hạn kích thước ở server.

Không lưu file upload vào thư mục có thể thực thi code. Dùng object storage, tên file ngẫu nhiên và policy truy cập phù hợp.

Nếu ứng dụng có yêu cầu cao, hãy scan virus, tạo thumbnail ở worker riêng và log lại các lỗi upload bất thường.

Upload ảnh hoặc tài liệu tưởng đơn giản nhưng có thể mở ra nhiều rủi ro: file độc hại, quá tải storage, lộ dữ liệu và thực thi ngoài ý muốn.

Đừng chỉ tin MIME type từ client. Hãy kiểm tra extension, MIME, magic bytes và giới hạn kích thước ở server.

Không lưu file upload vào thư mục có thể thực thi code. Dùng object storage, tên file ngẫu nhiên và policy truy cập phù hợp.

Nếu ứng dụng có yêu cầu cao, hãy scan virus, tạo thumbnail ở worker riêng và log lại các lỗi upload bất thường.