如何使用Rocket框架正确上传文件？含文件名与扩展名获取

核心问题解决：获取带扩展名的完整文件名 #

你遇到的raw_name().as_str()返回纯文件名的问题，是因为Rocket的FileName类型默认会对文件名做安全清理：移除特殊字符、路径遍历相关内容，同时默认剥离扩展名（框架的安全设计）。要获取用户上传的原始完整文件名，确实需要用到dangerous_unsafe_unsanitized_raw()方法，但这个方法的命名已经明确提示风险——它返回未经过滤的原始字符串，直接使用会带来路径遍历、恶意文件名的安全隐患。

正确获取文件名与扩展名的代码示例 #

use rocket::http::Status;
use rocket::serde::json::Value;
use rocket::fs::TempFile;
use uuid::Uuid;

#[post("/upload", data = <file>)]
async fn upload_route(mut file: TempFile<'_>) -> Result<(Status, Value), Status> {
    // 获取原始完整文件名（需自行做安全校验）
    let raw_full_name = file.raw_name()
        .and_then(|fn_raw| fn_raw.dangerous_unsafe_unsanitized_raw().as_str())
        .ok_or(Status::BadRequest)?;

    // 拆分文件名主体与扩展名
    let (pure_name, extension) = if let Some(dot_idx) = raw_full_name.rfind('.') {
        (&raw_full_name[0..dot_idx], &raw_full_name[dot_idx..])
    } else {
        (raw_full_name, "")
    };

    // 安全生成存储文件名：过滤非法字符、添加随机UUID避免冲突
    let safe_file_name = format!(
        "{}_{}{}",
        pure_name.replace(|c: char| !c.is_ascii_alphanumeric() && c != '_', ""),
        Uuid::new_v4(),
        extension
    );

    // 保存文件到目标路径
    let save_path = format!("temp/dir/to/{}", safe_file_name);
    if file.persist_to(&save_path).await.is_err() {
        return Err(Status::InternalServerError);
    }

    Ok((Status::Ok, Value::String(format!("文件已保存为：{}", safe_file_name))))
}

关于dangerous_unsafe_unsanitized_raw()的使用建议 #

这个方法可以用，但绝对不能直接将返回的原始文件名用于文件存储，必须做以下安全校验：

• 过滤路径分隔符（如/、\）、特殊控制字符（如:、..）
• 限制文件名长度，避免超出文件系统的命名限制
• 避免直接使用用户提供的文件名作为存储名，建议生成随机文件名，将原始文件名存入数据库做关联记录

替代上传方式对比 #

• Data<'_>：适合处理原始请求体，但需要手动解析multipart/form-data，自己处理文件名提取、文件流写入，复杂度高，仅适合超大文件流式处理等特殊场景，一般不推荐。
• Form结合TempFile：如果需要在一个请求中同时上传文件和元数据（如文件描述、分类标签），可以定义结构体结合Form接收，更贴合你的初始需求：

  use rocket::form::Form;
  use rocket::fs::TempFile;
  use rocket::http::Status;
  use rocket::serde::json::Value;
  
  #[derive(FromForm)]
  struct UploadRequest {
      file: TempFile<'_>,
      description: String,
      category: Option<String>,
  }
  
  #[post("/upload", data = <req>)]
  async fn upload_with_meta(req: Form<UploadRequest>) -> (Status, Value) {
      // 这里可以同时处理文件和元数据
      (Status::Ok, Value::String("文件及元数据上传成功".into()))
  }
  

是否应该保存带扩展名的文件？ #

可以保存，但要注意两点：

• 扩展名仅用于方便识别文件类型，不能作为判断文件内容的唯一依据（比如恶意文件可能伪装成.zip），建议结合file.content_type()获取的MIME类型，或文件头检测来验证文件真实内容。
• 不要依赖扩展名执行自动逻辑（如自动解压、打开），避免触发恶意文件的执行风险。

内容的提问来源于stack exchange，提问作者Grimlock