fix: add file type validation for uploads

- Add file validation utility with MIME type, extension, and content validation
- Validate file types in upload, presign, and finalize endpoints
- Support validation for JPEG, PNG, WebP, GIF, HEIC, HEIF, AVIF, and SVG
- Use sharp for content validation where supported, magic bytes for others
- Prevent malicious file uploads while maintaining user experience

Author: Rabithua

server/route/v2/attachment.ts

@@ -14,6 +14,7 @@ import {
   updateAttachmentsSortOrder,
   upsertAttachmentsByOriginalKey,
 } from '../../utils/dbMethods';
+import { validateContentType, validateFile } from '../../utils/fileValidation';
 import { asyncHandler } from '../../utils/handlers';
 import { createResponse, isValidUUID } from '../../utils/main';
 import { presignPutUrl, r2uploadhandler } from '../../utils/r2';
@@ -47,6 +48,11 @@ attachmentsRouter.post(
 
     const imageFiles = Array.isArray(files.images) ? files.images : [files.images];
 
+    // 验证每个文件的类型和内容
+    for (const file of imageFiles) {
+      await validateFile(file);
+    }
+
     // 并发控制，避免单次请求时间过长导致中断
     const CONCURRENCY = 3; // 保留并发配置，因为这是性能调优必需的
     const queue: Promise<void>[] = [];
@@ -145,7 +151,6 @@ attachmentsRouter.put(
   })
 );
 
-export default attachmentsRouter;
 // 预签名直传（前端直接 PUT 到 R2）
 attachmentsRouter.post(
   '/presign',
@@ -161,6 +166,22 @@ attachmentsRouter.post(
       throw new Error('No files to presign');
     }
 
+    // 验证文件数量和大小
+    const MAX_FILE_SIZE = 20 * 1024 * 1024; // 20MB
+    const MAX_FILES = 9;
+
+    if (files.length > MAX_FILES) {
+      throw new Error(`最多允许 ${MAX_FILES} 个文件`);
+    }
+
+    // 验证每个文件的内容类型和大小
+    for (const f of files) {
+      validateContentType(f.contentType);
+      if (f.size && f.size > MAX_FILE_SIZE) {
+        throw new Error(`文件大小超过限制: ${MAX_FILE_SIZE} 字节`);
+      }
+    }
+
     const getExt = (filename?: string, contentType?: string) => {
       if (filename && filename.includes('.')) return `.${filename.split('.').pop()}`;
       if (!contentType) return '';
@@ -243,6 +264,13 @@ attachmentsRouter.post(
       throw new Error('Invalid object key');
     }
 
+    // 验证 mimetype（如果提供）
+    for (const a of attachments) {
+      if (a.mimetype) {
+        validateContentType(a.mimetype);
+      }
+    }
+
     const uploads: UploadResult[] = attachments.map((a) => {
       const storageConfig = getGlobalConfig<StorageConfig>('storage');
       const urlPrefix = storageConfig?.urlPrefix;
@@ -273,3 +301,5 @@ attachmentsRouter.post(
     res.status(201).json(createResponse(data));
   })
 );
+
+export default attachmentsRouter;

server/utils/fileValidation.ts

@@ -0,0 +1,124 @@
+import formidable from 'formidable';
+import fs from 'fs/promises';
+import path from 'path';
+import sharp from 'sharp';
+
+// 允许的图片 MIME 类型
+export const ALLOWED_MIME_TYPES = [
+  'image/jpeg',
+  'image/jpg',
+  'image/png',
+  'image/webp',
+  'image/gif',
+  'image/heic',
+  'image/heif',
+  'image/avif',
+  'image/svg+xml',
+];
+
+// 允许的文件扩展名
+export const ALLOWED_EXTENSIONS = [
+  '.jpg',
+  '.jpeg',
+  '.png',
+  '.webp',
+  '.gif',
+  '.heic',
+  '.heif',
+  '.avif',
+  '.svg',
+];
+
+/**
+ * 验证文件类型（MIME type 和扩展名）
+ * @param file formidable 文件对象
+ * @throws Error 如果文件类型无效
+ */
+export function validateFileType(file: formidable.File): void {
+  // 验证 MIME type
+  if (!file.mimetype || !ALLOWED_MIME_TYPES.includes(file.mimetype)) {
+    throw new Error(`不允许的文件类型: ${file.mimetype || '未知'}`);
+  }
+
+  // 验证扩展名（如果提供了文件名）
+  // 注意：某些情况下可能没有 originalFilename，此时只验证 MIME type
+  if (file.originalFilename && file.originalFilename.includes('.')) {
+    const ext = path.extname(file.originalFilename).toLowerCase();
+    if (!ALLOWED_EXTENSIONS.includes(ext)) {
+      throw new Error(`不允许的文件扩展名: ${ext}`);
+    }
+  }
+}
+
+/**
+ * 验证文件内容（使用 magic bytes 或 sharp）
+ * 通过验证文件头或使用 sharp 读取文件来验证文件是否为有效的图片
+ * @param file formidable 文件对象
+ * @throws Error 如果文件内容无效
+ */
+export async function validateFileContent(file: formidable.File): Promise<void> {
+  const buffer = await fs.readFile(file.filepath);
+
+  // SVG 文件：sharp 不支持，使用简单的结构验证
+  if (file.mimetype === 'image/svg+xml') {
+    const content = buffer.toString('utf-8');
+    if (!content.includes('<svg') && !content.includes('<?xml')) {
+      throw new Error('无效的 SVG 文件');
+    }
+    return;
+  }
+
+  // HEIC/HEIF 文件：sharp 默认不支持，使用 magic bytes 验证
+  if (file.mimetype === 'image/heic' || file.mimetype === 'image/heif') {
+    if (buffer.length < 12) {
+      throw new Error('无效的 HEIC/HEIF 文件');
+    }
+    const magicBytes = buffer.slice(4, 8).toString('ascii');
+    if (magicBytes !== 'ftyp') {
+      throw new Error('无效的 HEIC/HEIF 文件');
+    }
+    const brand = buffer.slice(8, 12).toString('ascii');
+    if (!brand.includes('heic') && !brand.includes('heif') && !brand.includes('mif1')) {
+      throw new Error('无效的 HEIC/HEIF 文件');
+    }
+    return;
+  }
+
+  // 其他格式（JPEG, PNG, GIF, WebP, AVIF）：使用 sharp 验证
+  // sharp 会验证文件是否为有效的图片格式
+  try {
+    await sharp(buffer).metadata();
+  } catch (error) {
+    throw new Error(
+      `文件内容验证失败: ${error instanceof Error ? error.message : '无效的图片文件'}`
+    );
+  }
+}
+
+/**
+ * 完整验证文件（类型和内容）
+ * @param file formidable 文件对象
+ * @throws Error 如果文件验证失败
+ */
+export async function validateFile(file: formidable.File): Promise<void> {
+  // 先验证文件类型（MIME type 和扩展名）
+  validateFileType(file);
+
+  // 再验证文件内容（magic bytes）
+  await validateFileContent(file);
+}
+
+/**
+ * 验证内容类型（用于 presign 接口）
+ * @param contentType 内容类型字符串
+ * @throws Error 如果内容类型无效
+ */
+export function validateContentType(contentType?: string): void {
+  if (!contentType) {
+    throw new Error('缺少内容类型');
+  }
+
+  if (!ALLOWED_MIME_TYPES.includes(contentType)) {
+    throw new Error(`不允许的内容类型: ${contentType}`);
+  }
+}