文件驗證 - 內容類型或擴展名？

Question

我需要驗證一個文件是否爲圖像。 我應該檢查內容類型或分機？什麼更安全/更好？ 我認爲檢查擴展是否更好 - 您怎麼看？

string ext = System.IO.Path.GetExtension(fileName).ToLower(); 

Answer 1

如果你所關心的圖像文件，然後內容類型是要走的路。

但是......

如果你關心圖像類型，則必須通過擴展檢查，因爲真的是從內容類型到文件擴展名沒有真正的映射。例如，可將內容類型「image/jpeg」映射到.jpg或.jpeg。

但是，如果你在談論檢查由用戶上傳的文件，這兩種方法都是不安全因爲其依賴於用戶輸入。見OWASP: Unrestricted File Upload。