使用ColdFusion实现图片上传验证：代码问题排查

存在的问题及修复方案 #

1. 文件类型验证不严谨，仅依赖ContentType易被绕过 #

问题：代码只通过imageFile.ContentType判断文件类型，但HTTP请求中的ContentType可被篡改，无法有效阻止恶意文件上传。
修复：同时结合文件扩展名验证，检查imageFile.clientFileExt是否在允许的扩展名列表（jpg,jpeg,png,gif）中。

2. 文件对象直接输出错误 #

问题：<p>#imageFile#</p>直接输出文件对象，会显示ColdFusion内部对象字符串（如coldfusion.filter.FormScope$FileItem@xxxx），而非用户上传的文件名。
修复：改用imageFile.clientFile显示用户本地文件名，或imageFile.serverFile显示服务器上保存的文件名。

3. 上传目录未做存在性检查 #

问题：如果./uploads目录不存在，执行cffile upload时会抛出异常，导致程序崩溃。
修复：上传前先检查目录是否存在，不存在则创建：

<cfif NOT directoryExists(uploadDir)>
    <cfdirectory action="create" directory="#uploadDir#">
</cfif>

4. 表单提交判断及文件存在性验证缺失 #

问题：仅用structKeyExists(form,"submit")判断提交，但前端的required验证可被绕过，若用户未选择文件就提交，后续代码会报错。
修复：先检查文件字段是否存在且有效：

<cfif structKeyExists(form, "imgUpload") AND form.imgUpload.FileSize GT 0>
    <!--- 后续验证逻辑 --->
<cfelse>
    <p>请选择要上传的图片文件</p>
</cfif>

5. 输出内容未做转义，存在XSS风险 #

问题：直接输出#imgName#和#imgDesc#，若用户输入包含HTML/JS代码，会导致跨站脚本攻击。
修复：使用HTMLEditFormat()对用户输入进行转义：

<p>Image name: #HTMLEditFormat(imgName)#</p>
<p>description: #HTMLEditFormat(imgDesc)#</p>

6. 允许的MIME类型列表包含空格，导致匹配失败 #

问题：allowedFileType = "image/jpeg, image/png, image/gif"中逗号后有空格，listFindNoCase会将image/jpeg, 视为一个列表项，无法匹配正确的image/jpeg类型。
修复：去掉列表中的空格，改为：

<cfset allowedFileType = "image/jpeg,image/png,image/gif" />

修复后的完整代码 #

<form action="" method="post" enctype="multipart/form-data">
    <label for="imgName">图片名称: </label>
    <input type="text" id="imgName" name="imgName" required><br><br>

    <label for="imgDesc">描述: </label>
    <textarea id="imgDesc" name="imgDesc" rows="4" cols="50" required></textarea><br><br>

    <label for="imgUpload">上传图片: </label>
    <input type="file" id="imgUpload" name="imgUpload" required accept="image/jpeg,image/png,image/gif"><br><br>

    <input type="submit" name="submit" value="上传">
</form>

<cfif structKeyExists(form,"submit")>
    <cfset imgName = form.imgName />
    <cfset imgDesc = form.imgDesc />
    <cfset allowedMIMEType = "image/jpeg,image/png,image/gif" />
    <cfset allowedExts = "jpg,jpeg,png,gif" />
    <cfset maxFileSize = 1048576 />

    <!--- 检查文件是否存在且有效 --->
    <cfif structKeyExists(form, "imgUpload") AND form.imgUpload.FileSize GT 0>
        <cfset imageFile = form.imgUpload />
        
        <!--- 验证文件类型（MIME+扩展名） --->
        <cfif NOT (listFindNoCase(allowedMIMEType, imageFile.ContentType) AND listFindNoCase(allowedExts, imageFile.clientFileExt))>
            <cfoutput>
                <p>无效的文件类型，仅允许上传jpg、png、gif格式的图片。</p>
            </cfoutput>
        <cfelseif imageFile.FileSize GT maxFileSize>
            <cfoutput>
                <p>文件大小超过1MB的限制。</p>
            </cfoutput>
        <cfelse>
            <cfset uploadDir = expandPath("./uploads") />
            <!--- 创建上传目录（如果不存在） --->
            <cfif NOT directoryExists(uploadDir)>
                <cfdirectory action="create" directory="#uploadDir#">
            </cfif>
            <!--- 执行上传 --->
            <cffile action="upload" destination="#uploadDir#" fileField="imgUpload" nameConflict="makeunique">
            <cfoutput>
                <p>图片上传成功。</p>
                <p>上传文件名: #HTMLEditFormat(imageFile.clientFile)#</p>
                <p>图片名称: #HTMLEditFormat(imgName)#</p>
                <p>描述: #HTMLEditFormat(imgDesc)#</p>
            </cfoutput>
        </cfif>
    <cfelse>
        <cfoutput>
            <p>请选择要上传的图片文件。</p>
        </cfoutput>
    </cfif>
</cfif>

内容的提问来源于stack exchange，提问作者Midhun M