检测并删除上载的zip文件中的所有可执行文件

首先,允许使用白名单的文件类型和不允许使用黑名单的文件类型(如可执行文件)会更好、更健壮。因此,如果应用程序中允许的话,您应该有一个允许的类型列表。

那么问题是如何确定文件的类型。

简单的方法是检查文件扩展名,但这不是很强。为了避免在进一步检查上花费宝贵的CPU时间,第一次检查可能仍然是好的。

之后,您可以使用filemagic数据库非常可靠地找到上载文件的类型。您有两种选择:

• 如果应用程序在Linux上运行,则可以调用 file 直接使用工具,比如 filetype = `file -Ib #{filename}` 获取文件类型。注意 filename 在本例中,需要进行消毒以避免操作系统命令注入!

• 如果您也想支持Windows(或者只是想避免调用shell命令并拥有更好的代码),可以使用 ruby-filemagic 宝石:

require 'filemagic'
filename = 'yourfile.ext'
magic = FileMagic.new
filetype = magic.file(filename)

问题在于 鲁比·菲尔马奇 它不再被维护了,但找到可执行文件可能仍然可以正常工作。