使用Go开发的Web应用如何对用户上传文件开展安全检测？

• 限制上传文件的基础属性
  • 优先做文件大小校验，设置单文件、批量上传总大小双阈值，Go中可以通过http.MaxBytesReader直接限制请求体大小，超过阈值直接中断请求，避免大文件占满磁盘或带宽资源。
  • 不要信任请求头携带的Content-Type或文件后缀判断类型，必须读取文件头的魔数校验真实格式，可以用标准库net/http的DetectContentType方法，或者第三方魔数校验库覆盖更多小众格式，不在允许范围内的文件直接拒绝。
  • 强制重命名所有上传文件，禁止使用用户提交的原始文件名，避免路径遍历漏洞，命名规则可以用UUID、时间戳加随机字符串组合，同时不要把内部存储路径暴露给前端。
• 隔离存储，关闭执行权限
  • 上传文件不要存放在应用的可执行目录或Web服务可直接访问的静态目录下，优先选择独立的非Web可访问目录、对象存储服务存储文件，避免恶意脚本被直接触发执行。
  • 存储目录设置最小权限，Linux环境下可以设置权限为644，仅开放读写权限，完全关闭目录内所有文件的执行权限。
  • 如果需要对外提供文件访问能力，不要直接映射静态目录，要通过专门的代理接口读取文件内容后返回，避免路径穿透风险。
• 恶意内容扫描处理
  • 所有上传文件必须经过病毒扫描后再存储，可以本地部署ClamAV杀毒引擎，通过Go SDK调用扫描接口，检测到恶意内容直接删除并拦截请求。
  • 如果允许上传图片类文件，可以对文件做二次转码处理，用Go标准库image包重新编码图片，既可以压缩资源，也能破坏图片中嵌入的恶意脚本、EXIF恶意代码。
• 访问与风险兜底控制
  • 上传接口必须增加身份校验和请求频率限制，避免未授权用户批量上传恶意文件，也能防范接口被恶意刷取导致的资源耗尽。
  • 定期对已存储的上传文件做全盘病毒扫描，及时匹配新增病毒特征，清除历史遗留的恶意文件。
• 代码层面的额外校验
  • 拼接存储路径时不要使用用户可控的参数，所有路径都要通过filepath.Clean做规范化处理，校验处理后的路径是否在指定的存储目录范围内，避免路径遍历攻击。
  • 如需解析SVG、PDF、Office等支持动态内容的文件，必须在隔离沙箱环境中操作，避免文件中的恶意代码利用解析漏洞攻击服务器。

内容的提问来源于stack exchange，提问作者Furkan Aydın