上传的白名单或黑名单文件扩展名？

Question

我正在制作一个新闻通讯编辑器,允许文件上传(新闻通讯的发件人可以将文件上传到将在电子邮件中链接的服务器).

该站点设置为只有.do URI实际上由servlet执行/处理,所以它没有太大的安全风险,但我被告知黑名单.jsp,.php,.asp,.aspx,.exe, .com和.bat.这并不是一个全面的黑名单,我的印象是黑名单不是一个好的政策.

另一方面,白名单将长达数十年.识别允许/不允许的扩展的正确方法是什么？或者只是允许任何东西并通过病毒扫描程序或其中某些组合运行它更合适？

Answer 1

或者只允许任何内容并通过病毒扫描程序运行它是否更合适。

是的。

黑名单和白名单都可以被轻易规避，只会给管理带来麻烦，而且不提供任何安全性。