Загрузка файлов
Имя и Content-Type от клиента не доказывают безопасность содержимого.
Проверено Изменено
Плохо
Разрешён .png → сохраняем как исполняемый файл по имени клиента.
Хорошо
Ограничиваем размер и тип.
Генерируем имя. Храним вне исполняемого каталога.
Почему это важно
Загрузка может принести исполняемый код, переполнение хранилища или опасный документ.
Когда применять
Нужные сканеры и преобразования зависят от типа файла. Проверяйте права на скачивание отдельно.
Кто что делает
Человек
Определяет разрешённые типы, размеры и сроки хранения.
AI-агент
Реализует интеграцию по документации установленной версии и проверяет отказ, тайм-аут и повтор.
Контроль результата:
- Проверьте неверный тип, большой файл, путь ../ и чужой доступ.
Как проверить у себя
- Проверьте неверный тип, большой файл, путь ../ и чужой доступ.
Первоисточники
История изменений на GitHubДата проверки отражает содержательную сверку. Синхронизация сайта не обновляет её автоматически.