使用Multer上传时SonarQube仍触发DoS警告，已设limits为何diskStorage仍违规？

你已经设置了limits限制文件大小，但SonarQube仍针对diskStorage告警，主要有以下几个核心原因：

1. 直接使用原始文件名存在风险 #

原代码的filename回调直接返回file.originalname，攻击者可以构造超长文件名或包含特殊字符的文件名，可能引发：

• 磁盘inode（目录条目）耗尽
• 文件名超出操作系统/文件系统长度限制，触发服务异常
• 特殊字符可能被利用进行路径遍历（尽管Multer默认过滤部分字符，但仍存在潜在风险）

SonarQube会识别这种未对文件名做安全处理的逻辑，判定为DoS风险点。

2. 多字段上传未做严格限制 #

原代码使用.fields([{ name: "file" }, { name: "document" }])允许同时上传两个字段，即使单个fieldSize设为8MB，攻击者仍可通过同时上传多个字段，消耗超出预期的磁盘或内存资源，触发DoS告警。

3. 磁盘存储配置缺少基础安全校验 #

原代码的destination直接指定固定路径，未做必要校验：

• 未检查目标目录是否存在（若目录不存在，Multer可能抛出错误，影响服务可用性）
• 未设置合理的目录权限（可能被恶意操作或意外写入影响）

这些潜在的不稳定因素也会被SonarQube判定为风险。

针对性修复建议 #

1. 安全处理文件名：生成唯一且过滤特殊字符的文件名，避免直接使用原始文件名：

filename: function (req, file, callback) {
  // 用时间戳+过滤后的原始文件名生成唯一安全文件名
  const safeFilename = `${Date.now()}-${file.originalname.replace(/[^a-zA-Z0-9.-]/g, '_')}`;
  callback(null, safeFilename);
}

2. 严格限制上传字段与类型：明确字段数量并添加文件类型校验：

const multipartUpload = multer({
  storage,
  limits: {
    fileSize: 8_000_000,
    fieldSize: 8_000_000,
    fields: 2 // 明确限制字段数量
  },
  fileFilter: function (req, file, cb) {
    // 只允许业务需要的文件类型
    const allowedTypes = ['image/jpeg', 'application/pdf'];
    allowedTypes.includes(file.mimetype) ? cb(null, true) : cb(new Error('不允许的文件类型'));
  }
}).fields([{ name: "file" }, { name: "document" }]);

3. 确保目标目录安全：提前创建目录并设置合理权限：

const fs = require('fs');
const path = require('path');

destination: function (req, file, callback) {
  const uploadDir = path.resolve('./uploads');
  // 检查目录，不存在则创建并设置权限
  if (!fs.existsSync(uploadDir)) {
    fs.mkdirSync(uploadDir, { recursive: true, mode: 0o755 });
  }
  callback(null, uploadDir);
}

内容的提问来源于stack exchange，提问作者Sergey Sobolevsky