اسم الملف وامتداده لا يثبتان نوع المحتوى. خدمة الرفع تحتاج قيودًا على الحجم والنوع ومكان التخزين وما يسمح للخادم بتنفيذه أو عرضه.
الفكرة الأساسية
تحقق من البنية الفعلية للملف باستخدام أدوات مناسبة، وولّد اسمًا داخليًا بدل الثقة في الاسم الأصلي. افصل التخزين عن مسارات تنفيذ الشيفرة، وطبّق الصلاحيات على التنزيل.
خطوات عملية
- استخدم قائمة أنواع مسموحة وحدودًا للحجم والعدد.
- عالج الصور بمكتبة موثوقة عند الحاجة.
- راقب أخطاء الفحص ونظّف الملفات المؤقتة.
مثال تطبيقي
صورة الحساب يمكن إعادة ترميزها إلى صيغة معروفة وتخزينها باسم مولّد، بدل نشر أي ملف يحمل امتداد jpg.
خطأ شائع ينبغي تجنبه
لا تعتبر رأس Content-Type المرسل من العميل دليلًا كافيًا، ولا تسمح بتنفيذ الملفات داخل مجلد الرفع.
للتوسع في الموضوع
صور توضيحية: الغلاف من Unsplash، الصورة الداخلية من Unsplash. ترخيص الاستخدام.
