Rails 3升级至7后CarrierWave无法上传SVG文件问题咨询

你遇到的问题确实是CarrierWave为防护CVE-2016-3714（ImageTragick）漏洞的默认拦截逻辑导致的：引入CarrierWave::MiniMagick后，即使没有手动配置图片处理流程，上传时MiniMagick也会读取文件做基础校验，而默认配置下ImageMagick处理SVG会调用外部可执行程序，触发CarrierWave的安全拦截，最终出现文件存储路径为空、无法生成URI的错误。
另外你之前尝试添加的[/image\/svg+xml//]规则存在语法错误，正则末尾多了一个斜杠，正确写法为/image\/svg\+xml/，实际上你配置的/image\//规则已经可以覆盖image/svg+xml类型，不需要单独追加规则。
针对你的场景（不需要处理SVG、仅管理员可上传），可按优先级选择以下方案：

方案1：跳过SVG的MiniMagick处理（最简便，无需修改系统配置） #

直接让SVG文件跳过所有MiniMagick处理流程，从根源避免触发安全校验，完全适配你不需要转码、生成版本的需求，修改上传器代码如下：

class LogoUploader < CarrierWave::Uploader::Base
  include CarrierWave::MiniMagick

  storage :file

  def store_dir
    "uploads/#{model.class.to_s.underscore}/#{model.id}"
  end

  def content_type_allowlist
    [/image\//]
  end

  process :skip_svg_processing

  def skip_svg_processing
    # 仅对SVG文件跳过后续所有MiniMagick处理
    return unless file.content_type == 'image/svg+xml'
    nil
  end
end

保存后重启Rails服务即可正常上传SVG。

方案2：禁用ImageMagick默认SVG委托（保留基础SVG读取能力） #

如果需要保留MiniMagick对SVG的基础读取能力，可修改ImageMagick全局安全策略，禁用不安全的外部SVG委托：

1. 执行以下命令查找ImageMagick配置文件policy.xml的路径：

   identify -list policy
   

   常见路径为/etc/ImageMagick-6/policy.xml、/etc/ImageMagick/policy.xml、/usr/local/etc/ImageMagick-7/policy.xml，随ImageMagick版本、安装方式不同有差异。
2. 编辑policy.xml，添加如下配置：

   <!-- 禁用所有SVG相关外部委托 -->
   <policy domain="delegate" rights="none" pattern="SVG" />
   <policy domain="delegate" rights="none" pattern="SVGZ" />
   <!-- 开启内置SVG编码器的读写权限 -->
   <policy domain="coder" rights="read|write" pattern="SVG" />
   <policy domain="coder" rights="read|write" pattern="SVGZ" />
   

3. 保存后重启Rails服务生效，该配置会让ImageMagick使用内置解析器处理SVG，不再调用外部程序，阻断漏洞利用路径。

方案3：配置RSVG委托安全处理SVG（需要高质量SVG渲染时使用） #

如果需要对SVG做裁剪、缩放等处理，追求更高的渲染质量，可以将SVG处理委托切换为安全的librsvg（RSVG）：

1. 先安装系统层面的RSVG依赖：
   • Ubuntu/Debian：

     sudo apt-get install librsvg2-bin librsvg2-dev
     

   • CentOS/RHEL：

     sudo yum install librsvg2 librsvg2-devel
     

   • macOS（Homebrew）：

     brew install librsvg
     

2. 重装/重新编译ImageMagick，确保其能识别到RSVG委托，执行以下命令验证：

   convert -list format | grep SVG
   

   输出中SVG、SVGZ条目对应的处理库显示为rsvg即为配置成功。
3. 编辑ImageMagick的policy.xml，仅允许RSVG作为SVG处理委托：

   <policy domain="delegate" rights="none" pattern="SVG" />
   <policy domain="delegate" rights="none" pattern="SVGZ" />
   <policy domain="delegate" rights="execute" pattern="rsvg" />
   

4. 保存后重启Rails服务即可。

内容的提问来源于stack exchange，提问作者SEJU