Go语言如何实现服务端图片及PDF文件内容验证以规避上传漏洞

关于http.DetectContentType的安全性说明 #

net/http包自带的DetectContentType仅读取文件前512字节做MIME嗅探，针对你需要校验jpeg、png、PDF的场景，单独使用无法满足安全要求：

• 攻击者可以在文件头部拼接合法的512字节内容，后段插入恶意脚本、可执行代码绕过校验
• 对PDF的识别准确率有限，部分特殊构造的异常PDF可能被误判为合法类型

官方推荐实现逻辑 #

Go官方没有推出专门针对文件上传校验的独立标准库，除DetectContentType外，通用的官方推荐逻辑是魔数校验 + 文件结构完整性校验双重验证，仅靠MIME嗅探不足以防御无限制上传漏洞。

可用第三方库与落地实现 #

1. 优先选择通用MIME校验库 #

推荐使用github.com/gabriel-vasile/mimetype，相比标准库校验能力更强：

• 支持更多MIME类型，对jpeg、png、PDF的识别准确率更高
• 支持自定义校验读取长度，可配置读取文件前数KB内容，避免头部注入绕过
  示例代码：

import (
    "io"
    "slices"
    "github.com/gabriel-vasile/mimetype"
)

func checkUploadFile(file io.ReadSeeker) (bool, error) {
    // 读取前10KB做校验，可根据需求调整长度
    mtype, err := mimetype.DetectReader(io.LimitReader(file, 10*1024))
    if err != nil {
        return false, err
    }
    // 重置文件指针，方便后续保存或二次校验
    if _, err = file.Seek(0, io.SeekStart); err != nil {
        return false, err
    }
    // 仅允许指定的三类文件
    allowedTypes := []string{"image/jpeg", "image/png", "application/pdf"}
    return slices.Contains(allowedTypes, mtype.String()), nil
}

2. 高安全场景加做文件结构校验 #

如果对安全性要求极高，可以在MIME校验通过后，再做对应文件类型的完整性校验，彻底避免构造文件绕过：

• 图片校验：直接用标准库image包解码，解码成功即为合法图片文件

  import "image/jpeg"
  import "image/png"
  
  // 校验jpeg示例，png对应调用png.Decode即可
  _, err := jpeg.Decode(file)
  if err != nil {
      // 非法jpeg文件
  }
  _, _ = file.Seek(0, io.SeekStart)
  

• PDF校验：用第三方PDF解析库github.com/ledongthuc/pdf读取PDF结构，确认文件可正常解析

额外安全建议 #

• 完全忽略客户端传递的文件扩展名、Content-Type头，所有校验全部基于服务端读取的文件内容
• 保存文件时不使用用户上传的原始文件名，统一用服务端生成的随机字符串作为文件名
• 上传文件存储目录关闭执行权限，且不要放在Web服务可直接访问的根路径下

内容的提问来源于stack exchange，提问作者Kazuki