输入验证:文件上传 CWE434 如何解决

请先 登录 后评论

1 个回答

铉清

使用Content-Disposition头浏览器在下载文件时不依赖于文件名防止通过修改Content-Disposition头进行攻击

随机文件名生成虽然代码中有生成时间戳加后缀的逻辑但未明确展示是否使用随机字符串以增加不可预测性使用UUID或类似的随机命名策略

请先 登录 后评论