在Angular中安全识别application/pkcs7-mime及同类文件的方法

1. 基于文件魔术数字的内容检测 #

这是最可靠的方法，直接读取文件的起始字节（魔术数字）判断文件类型，不受浏览器或扩展名影响。PKCS#7相关文件（如.p7m、.p7s）的DER编码格式通常以十六进制字节 30 82 开头（对应ASN.1的序列标识）。

Angular中的实现示例：

async detectPkcs7File(file: File): Promise<boolean> {
  return new Promise((resolve) => {
    const reader = new FileReader();
    // 仅读取前2个字节即可完成判断
    reader.onload = (e) => {
      const arrayBuffer = e.target?.result as ArrayBuffer;
      const uint8Array = new Uint8Array(arrayBuffer);
      // 验证起始字节是否匹配PKCS#7的标识
      const isPkcs7 = uint8Array[0] === 0x30 && uint8Array[1] === 0x82;
      resolve(isPkcs7);
    };
    reader.onerror = () => resolve(false);
    reader.readAsArrayBuffer(file.slice(0, 2));
  });
}

2. 后缀名+魔术数字的双重验证 #

为兼顾兼容性与安全性，可将扩展名检测与魔术数字验证结合：

• 先校验文件扩展名是否属于PKCS#7相关类型（如.p7m、.p7s、.p7b）
• 再通过魔术数字确认文件内容的真实性

示例代码：

async validatePkcs7File(file: File): Promise<boolean> {
  const validExtensions = ['p7m', 'p7s', 'p7b'];
  const fileExt = file.name.split('.').pop()?.toLowerCase();
  if (!validExtensions.includes(fileExt || '')) {
    return false;
  }
  // 调用魔术数字检测方法
  return this.detectPkcs7File(file);
}

3. 使用第三方库简化检测 #

可借助专门的文件类型检测库（如file-type）简化逻辑，该库内置了多种文件类型的魔术数字规则，包括PKCS#7：

1. 安装依赖：

npm install file-type

2. Angular中的使用示例：

import { fileTypeFromBlob } from 'file-type';

async checkPkcs7WithLibrary(file: File): Promise<boolean> {
  const fileType = await fileTypeFromBlob(file);
  // 匹配PKCS#7对应的MIME类型
  return fileType?.mime === 'application/pkcs7-mime' || fileType?.mime === 'application/pkcs7-signature';
}

为什么不依赖file.type？ #

浏览器的file.type属性基于文件扩展名或系统MIME类型关联表生成，对于application/pkcs7-mime这类不常见类型，部分浏览器（如Firefox）无法正确识别，会返回空字符串或错误类型，因此不能作为可靠依据。

内容的提问来源于stack exchange，提问作者Danilo Giovannico