用户上传背景图片时的安全注意事项

问题描述

|| 首先，我不是在问使用服务器端语言进行的上传本身的过程。 我只想知道在我的网站上使用上载图像作为CSS背景时应考虑哪些安全注意事项。 该功能与Twitter完全相同，允许用户使用其自己的背景图片。 例如，将图像放置在服务器上并开始使用它是否安全？他们可以使用该背景在页面上注入某种代码吗？ 我通常将图像调整为较小的尺寸，这样是否足以除去其中包含的不需要的“元”数据？     

解决方法

        多年来，浏览器存在许多安全漏洞，这些漏洞是由特制恶意图像文件触发的缓冲区溢出。 我不知道当前的浏览器版本中存在这种已知的缺陷，但是很多人会拥有没有任何安全补丁的旧版本，当然新缺陷确实会时不时暴露出来。 解决起来很棘手（实际上不可能100％安全），但是您可以进行一些基本检查，以确保文件实际上是上传时声明的类型的图像。调整图像大小几乎可以肯定会破坏其中嵌入的任何恶意代码。 还有一个更明显的风险，就是图像可能显示出您不希望与您的网站相关联的不合适的材料。这只能通过在允许使用图像之前手动审核图像来解决。 是的，存在风险。但是，如果要由上传者查看图像（即，作为个性化功能，按照您在Twitter上的描述方式）而不是任何人查看，则风险要低得多。显然，一个人不太可能想要入侵自己的计算机，因此可以减少恶意映像问题，并且如果有人想在您的站点上放置一个讨厌的映像，但是只有他们才能看到它。显然知道它是什么，否则他们将不会上传它。