如何防止用户恶意上传一些非法文件

[chy710]

网站一模块为用户上传，怎么防止用户恶意上传一些非法文件? 木马，病毒什么的．．．

[dengchenlu]

你可以通过截取字符串判断后缀名

[满衣兄]

控制文件格式、大小。增强具有上传权限的用户的身份验证。

[zhxhdean]

同意楼上的方法

[evjen]

判断文件后缀名

[Zeteyu]

从扩展名入手

[chy710]

扩展名是可以改的呀,治标不治本呀

[yoursWTR]

木马，病毒,装个杀毒软件就完了,杀毒软件会优先监测正在读写的文件,
非法文件要靠你判读,
比如你可以做成可断点上传的,解码的时候非对应片格式肯定会报错,而断点传输效率还要好点

[yoursWTR]

你装个杀毒软件,用记事本写个改主页的脚本,保存的时候肯定会本杀掉,只要杀毒软件不是特别垃圾,我亲身经历过

[gavinluo]

把文件上传到服务器后，再把文件打开，逐行扫描，看看有没有 类似程序语法的关键字，如果有，就删除，没有就上传成功

[赤色火焰]

判断文件扩展名

[zhu660]

9楼的方法会不会造成错杀啊？
还是建议使用7楼的方法

[fenglaijun]

严格限制上传文件的扩展名。。。
拒绝上传自动运行的文件类型

[stonec]

[Quote=引用 6 楼 chy710 的回复:]
扩展名是可以改的呀,治标不治本呀
[/Quote]

转换成流，也是可以判断文件的真实类型的。网上可以找下相关代码。
另外，2楼讲的差不离了。要想完全作到安全，恐怕是比较难的，只能说是相对。
有人提议，所病毒扫描，这个没常识过。

[三碗猪脚]

这样搞，服务器装杀毒软件

上传前检查后缀名

上传后在服务器端立即压缩打包，即使有，让没有发作的机会

最好还是限定上传用户的上传权限，不清楚的不允许。