java 上传文件校验文件头和后缀

原创

mob64ca12f86e32 2024-07-20 06:15:43 ©著作权

文章标签 java 后缀文件上传 文章分类 Java 后端开发

©著作权归作者所有：来自51CTO博客作者mob64ca12f86e32的原创作品，请联系作者获取转载授权，否则将追究法律责任

Java 上传文件校验文件头和后缀：提升安全性的实践

在现代Web应用中，文件上传功能是常见的需求。然而，不恰当的文件上传处理可能导致安全问题，比如恶意文件上传攻击。为了提高安全性，我们需要对上传的文件进行校验。本文将介绍如何使用Java进行文件头和文件后缀的校验。

为什么校验文件头和后缀？

文件头（也称为MIME类型）是文件的元数据，它描述了文件的类型和格式。而文件后缀是文件名的一部分，通常用来表示文件类型。校验文件头和后缀可以防止用户上传伪装成其他类型的恶意文件。

文件头和后缀校验流程

用户选择文件并上传。
服务器接收文件。
校验文件的后缀是否在允许的列表中。
读取文件的二进制流，获取文件头。
校验文件头是否与文件后缀匹配。
如果校验通过，则保存文件；否则，拒绝上传。

代码示例

以下是一个简单的Java代码示例，展示如何实现文件上传的校验。

import javax.imageio.ImageIO;
import java.awt.image.BufferedImage;
import java.io.File;
import java.io.IOException;
import java.util.Arrays;
import java.util.List;

public class FileUploader {

    private static final List<String> ALLOWED_EXTENSIONS = Arrays.asList("jpg", "png", "gif");

    public static void main(String[] args) {
        File file = new File("path/to/your/file.jpg");
        if (isValidFile(file)) {
            System.out.println("文件上传成功！");
        } else {
            System.out.println("文件上传失败：文件类型不匹配！");
        }
    }

    public static boolean isValidFile(File file) {
        String fileName = file.getName();
        String extension = fileName.substring(fileName.lastIndexOf(".") + 1);

        if (!ALLOWED_EXTENSIONS.contains(extension.toLowerCase())) {
            return false;
        }

        try {
            String mimeType = ImageIO.getImageReadersByFormatName(extension).next().getFormatName();
            String fileMimeType = getMimeType(file);

            return mimeType.equalsIgnoreCase(fileMimeType);
        } catch (IOException e) {
            e.printStackTrace();
            return false;
        }
    }

    private static String getMimeType(File file) throws IOException {
        try (java.io.FileInputStream fis = new java.io.FileInputStream(file)) {
            byte[] bytes = new byte[25];
            if (fis.read(bytes) == -1) {
                return null;
            }
            return javax.activation.MimetypesFileTypeMap.getDefaultFileTypeMap().getContentType(bytes);
        }
    }
}

序列图

以下是文件上传校验的序列图：

sequenceDiagram
    participant User as U
    participant Client as C
    participant Server as S

    U->>C: Select and upload file
    C->>S: Send file data
    S->>S: Check file extension
    S->>S: Read file header
    S->>S: Compare file header and extension
    S-->>C: Return result

类图

以下是FileUploader类的类图：

classDiagram
    class FileUploader {
        +ALLOWED_EXTENSIONS : List<String>
        +main(args : String[]) : void
        +isValidFile(file : File) : boolean
        +getMimeType(file : File) : String
    }