使用.htaccess保护上传的.svg文件，兼顾可访问性与安全性

针对允许用户上传SVG、需公开访问且防范注入/篡改的需求，结合.htaccess配置和配套措施，以下是可落地的最佳实践：

1. 用.htaccess限制SVG执行与访问规则 #

直接在public_html/public/uploads目录下创建/编辑.htaccess，添加以下规则：

• 强制正确MIME类型：避免SVG被解析为HTML或脚本，确保浏览器以图片方式处理

<FilesMatch "\.svg$">
    ForceType image/svg+xml
</FilesMatch>

• 禁止脚本执行：彻底阻断该目录下任何脚本的运行权限，防止恶意SVG中的可执行代码被触发

<Directory "/public_html/public/uploads">
    # 关闭CGI执行和目录索引
    Options -ExecCGI -Indexes
    # 标记所有常见脚本后缀为CGI处理程序（后续移除SVG的关联）
    AddHandler cgi-script .php .pl .py .jsp .asp .sh .cgi
    # 确保SVG不会被当作脚本处理
    RemoveHandler .svg
</Directory>

• 限制HTTP方法：只允许GET/HEAD请求，防止攻击者通过PUT/DELETE等方法篡改或删除文件

<LimitExcept GET HEAD>
    Deny from all
</LimitExcept>

2. 上传环节的前置验证（不可仅依赖.htaccess） #

.htaccess是后端防护，上传时的验证能从源头减少风险：

• 校验文件内容而非仅扩展名：检查文件开头是否包含SVG的特征标识（如<?xml version="1.0"?>或<svg），拒绝任何不符合的文件，避免伪装成SVG的恶意脚本。
• 清理SVG危险内容：移除SVG中的<script>标签、onload/onclick等on*事件属性、<foreignObject>元素，只保留纯图形相关的标签（如<path>、<rect>）。
• 随机重命名文件：不要使用用户提交的文件名，改用UUID或随机字符串+.svg的命名方式，防止路径猜测或恶意文件名注入。

3. 防止文件篡改的硬措施 #

• 设置文件系统只读权限：上传完成后，将SVG文件权限设为644（所有者可读可写，其他只读），目录权限设为755，确保服务器进程无法修改文件。
• 定期校验文件哈希：对每个上传的SVG生成SHA256哈希值并存储到数据库，定期批量比对文件哈希，一旦发现不一致立即告警或恢复原始文件。

4. 额外加固项 #

• 关闭目录索引：前面的.htaccess已经加了Options -Indexes，确保攻击者无法浏览目录下的所有文件列表。
• 用<img>标签展示SVG：避免直接在HTML中嵌入SVG代码，用<img src="uploads/xxx.svg">的方式加载，浏览器会将其视为静态图片，不会解析执行其中的脚本。
• 配置内容安全政策（CSP）：在网站全局或SVG展示页面添加CSP规则，比如img-src 'self'限制SVG来源，script-src 'none'禁止任何脚本执行，进一步降低注入风险。

内容的提问来源于stack exchange，提问作者Wwelson Ddolb