Rails直传Keynote等文件ContentType验证不一致问题求助

核心问题分析 #

问题根源在于不同环境对文件MIME类型的识别逻辑不一致：浏览器/S3通过文件扩展名或文件头识别出application/x-iwork-keynote-sffkey这类专属类型，但Rails依赖的marcel库（Active Storage默认MIME检测工具）会将Keynote/Pages等iWork文件识别为application/zip（这类文件本质是zip压缩包）。直接添加application/zip到白名单存在安全风险，因此需要让Rails端优先采用S3返回的MIME类型，而非本地检测结果。

解决方案步骤 #

1. 覆盖Active Storage Blob的MIME类型赋值逻辑 #

在config/initializers/active_storage.rb中添加代码，让Blob创建时优先使用上传来源（如S3直传）提供的content_type，而非本地检测值：

Rails.application.config.after_initialize do
  ActiveStorage::Blob.class_eval do
    def extract_content_type_from_upload(upload)
      # 优先用上传对象自带的content_type， fallback到原逻辑
      upload.content_type.presence || super
    end
  end
end

此配置会保留S3直传返回的application/x-iwork-keynote-sffkey等类型，避免被Rails本地检测覆盖。

2. 修复更新操作的MIME类型同步问题 #

更新操作时无S3回调触发Blob字段更新，需主动拉取S3存储的实际content_type同步到数据库：

# 在User模型中添加同步方法
class User < ApplicationRecord
  has_one_attached :document
  # ...其他代码

  def sync_document_content_type
    return unless document.attached?
    blob = document.blob
    # 从S3获取文件真实content_type
    s3_object = ActiveStorage::Blob.service.send(:object_for, blob.key)
    s3_content_type = s3_object.content_type

    blob.update!(content_type: s3_content_type) if blob.content_type != s3_content_type
  end
end

# 在controller的update动作中调用
def update
  @user = User.find(params[:id])
  @user.sync_document_content_type if @user.document.attached?
  
  if @user.update(user_params)
    # 成功逻辑
  else
    # 失败逻辑
  end
end

3. 统一两端MIME类型白名单 #

确保Rails模型与Stimulus JS端使用完全一致的白名单，包含iWork相关类型：

• Rails模型（基于active_storage_validations）：

  validates :document, content_type: [
    'image/jpeg', 'image/png', 'application/pdf',
    'application/msword', 'application/vnd.openxmlformats-officedocument.wordprocessingml.document',
    'application/vnd.ms-powerpoint', 'application/vnd.openxmlformats-officedocument.presentationml.presentation',
    'application/x-iwork-keynote-sffkey', 'application/x-iwork-pages-sffpages', 'application/x-iwork-numbers-sffnumbers'
  ]
  

• Stimulus控制器：

  // app/javascript/controllers/upload_controller.js
  export default class extends Controller {
    static targets = ['fileInput']
  
    validateFile() {
      const allowedTypes = [
        'image/jpeg', 'image/png', 'application/pdf',
        'application/msword', 'application/vnd.openxmlformats-officedocument.wordprocessingml.document',
        'application/vnd.ms-powerpoint', 'application/vnd.openxmlformats-officedocument.presentationml.presentation',
        'application/x-iwork-keynote-sffkey', 'application/x-iwork-pages-sffpages', 'application/x-iwork-numbers-sffnumbers'
      ]
      const file = this.fileInputTarget.files[0]
      if (file && !allowedTypes.includes(file.type)) {
        alert('不允许的文件类型')
        this.fileInputTarget.value = ''
      }
    }
  }
  

4. 注册自定义MIME类型（可选） #

配合上述逻辑，注册自定义MIME类型可让Rails在路由、响应等场景更好识别这些类型：

# config/initializers/mime_types.rb
Mime::Type.register "application/x-iwork-keynote-sffkey", :keynote
Mime::Type.register "application/x-iwork-pages-sffpages", :pages
Mime::Type.register "application/x-iwork-numbers-sffnumbers", :numbers

补充说明 #

保存时调用@user.document.blob.reload能生效，是因为直传完成后S3回调会更新数据库中Blob的content_type字段，reload后可获取正确值；但更新操作无该回调触发，因此需要主动同步。

内容的提问来源于stack exchange，提问作者r3b00t