TYPO3下TCA文件上传功能的SVG验证与sanitize实现方案咨询

疑问对应解答 #

• 核心内置svg-sanitizer对接TCA上传可行性
  该方案可直接落地。TYPO3 9.5及以上版本核心已默认集成enshrined/svg-sanitize库，默认会对所有上传的SVG文件做基础恶意代码清理，你仅需自定义扩展清理规则：新增禁止内嵌PNG/JPG等光栅资源、拦截存在语法错误SVG的配置，调整后TCA上传逻辑会自动调用该清理能力，无需额外编写对接代码。
• TCA上传钩子嵌入sanitize逻辑可行性
  该方案可行，且优先级高于全局默认清理规则，特别适合仅针对页脚SVG字段做特殊校验的场景。你可以使用FAL的preFileAdd钩子，在文件写入存储前触发自定义清理逻辑：调用核心内置的SVG sanitizer实例，按业务规则清理SVG内容后再存入存储，也可直接拦截不符合要求的文件。
• 校验器方案实现方法
  你可以通过自定义FAL文件校验器实现终止上传并返回提示的需求，步骤如下：
  1. 新建自定义校验类，实现TYPO3\CMS\Core\Resource\Validation\ValidatorInterface接口
  2. 在类的isValid方法中编写校验逻辑：用DOMDocument尝试加载SVG内容判断是否存在语法错误，扫描SVG节点判断是否存在内嵌img标签、base64光栅资源等违规内容
  3. 校验不通过时抛出InvalidFileException，自定义返回给用户的错误提示，例如「上传的SVG存在代码错误或内嵌非矢量资源，请调整后重新上传」
  4. 将自定义校验器注册到全局文件校验链中，所有SVG上传都会触发该校验，不符合要求的文件会直接终止上传流程并展示错误提示

推荐优先组合使用核心内置SVG清理+自定义校验器的方案，既能自动清理大部分恶意代码、语法错误，又能明确拦截不符合要求的文件，给编辑人员清晰的操作提示，兼顾安全性和易用性。

其他可行方案 #

• 可在前端上传入口新增JS预校验逻辑，读取上传的SVG文件内容提前排查违规项，给用户即时提示，降低后端校验压力，注意前端校验仅做体验优化，后端校验必须保留避免被绕过
• 如果仅需要限制页脚字段的SVG规则，可以给该TCA字段单独绑定自定义校验器，不影响全站其他SVG上传的正常使用，灵活性更高

内容的提问来源于stack exchange，提问作者Andrea Schmuttermair