springmvc文件上传

就这么敲来敲去

已于 2022-08-04 22:57:24 修改

阅读量235

点赞数

于 2022-07-20 22:20:55 首次发布

本文链接：https://blog.csdn.net/qq_39499930/article/details/125901883

版权

Spring Boot 文件上传文件类型检测文件魔数安全校验

关键词由CSDN通过智能技术生成

package org.llf.controller;

import org.apache.poi.util.IOUtils;
import org.llf.util.FileTools;
import org.llf.util.FileTypeUtils;
import org.slf4j.Logger;
import org.slf4j.LoggerFactory;
import org.springframework.web.bind.annotation.RequestMapping;
import org.springframework.web.bind.annotation.RequestParam;
import org.springframework.web.bind.annotation.RestController;
import org.springframework.web.multipart.MultipartFile;

import java.io.File;
import java.io.FileOutputStream;
import java.io.IOException;

/**
 * @ClassName UploadFileController
 * @Description TODO
 * @Author user
 * @Date 2022/4/29 11:00
 * @Version 1.0
 **/
@RestController
public class UploadFileController {
    private static final Logger logger = LoggerFactory.getLogger(UploadFileController.class);

    /**
     * 上传文件到本地指定位置,此种方式貌似可以上传任意文件类型,包括压缩包等
     * 文件上传通常需要校验文件类型,文件大小
     * 文件类型校验 ： 1：通过后缀校验,后缀可以改,不安全
     * 2： 校验文件真实类型,可以根据文件魔数判断 （注意：txt文件类型没有固定的文件魔数,一般项目是禁止上传txt文件类型的）
     *
     * @param file
     * @return
     */
    @RequestMapping("/upload")
    public String uploadFile(@RequestParam("uploadFile") MultipartFile file) {
        // 根据路径地址创建File对象
        String targetFilePath = "E:\\test\\uploadTest";
        File targetFile = new File(targetFilePath + File.separator + file.getOriginalFilename());
        FileOutputStream fileOutputStream = null;
        try {
            // 通过文件后缀名获取文件类型,如果文件类型不在上传白名单种,提示错误
            String fileType = FileTypeUtils.getFileTypeBySuffix(file.getOriginalFilename());

            // 根据文件后缀和文件字节数组,判断是否为文件真实类型
            boolean b = FileTools.getFileType("jpg", file.getBytes());
            if (!b) {
                return "文件真实类型校验不通过";
            }

            // 限制文件上传大小不能超过3M
            if (file.getSize() > 1024 * 1024 * 3) {
                return "文件大小不能超过3M";
            }

            // 根据File对象定义文件输出流
            fileOutputStream = new FileOutputStream(targetFile);
            // 把上传得文件流复制到自定义的文件输出流,完成文件的输出
            IOUtils.copy(file.getInputStream(), fileOutputStream);
            logger.info("   >>>>>> upload file successfully <<<<<<------");
        } catch (IOException e) {
            logger.info("文件输出到指定磁盘异常" + e);
            return "system error";
        } finally {
            try {
                // 最后关闭文件流
                fileOutputStream.close();
            } catch (IOException e) {
                logger.error("", e);
            }
        }
        return "上传成功";
    }


}

package org.llf.util;

import java.io.File;
import java.io.FileInputStream;
import java.util.HashMap;
import java.util.Locale;
import java.util.Map;


/***********************************************************************
 *
 * Description: 主要用于判断文件的类型
 *
 ***********************************************************************/

public class FileTools {

    public final static Map<String, String> FILE_TYPE_MAP = new HashMap<String, String>();
    static{
        getAllFileType(); // 初始化文件类型信息
    }
    /**
     * getAllFileType,常见文件头信息
     */
    private static void getAllFileType(){
//        FILE_TYPE_MAP.put("js", "696b2e71623d696b2e71"); // js
//        FILE_TYPE_MAP.put("ps", "252150532D41646F6265");
//        FILE_TYPE_MAP.put("gz", "1f8b0800000000000000");// gz文件
//        FILE_TYPE_MAP.put("mf", "4d616e69666573742d56");// MF文件
        FILE_TYPE_MAP.put("jpg", "ffd8ffe000104a464946"); // JPEG (jpg)
        FILE_TYPE_MAP.put("png", "89504e470d0a1a0a0000"); // PNG (png)
        FILE_TYPE_MAP.put("gif", "47494638"); // GIF (gif)47494638396126026f01
//        FILE_TYPE_MAP.put("tif", "49492a00227105008037"); // TIFF (tif)
//        FILE_TYPE_MAP.put("bmp", "424d"); //图(bmp)
//        FILE_TYPE_MAP.put("dwg", "41433130313500000000"); // CAD (dwg)
//        FILE_TYPE_MAP.put("htm", "3c21646f637479706520"); // HTM (htm)
//        FILE_TYPE_MAP.put("css", "48544d4c207b0d0a0942"); // css
//        FILE_TYPE_MAP.put("rtf", "7b5c727466315c616e73"); // Rich Text Format (rtf)
//        FILE_TYPE_MAP.put("psd", "38425053000100000000"); // Photoshop (psd)
//        FILE_TYPE_MAP.put("eml", "46726f6d3a203d3f6762"); // Email [Outlook Express 6] (eml)
//        FILE_TYPE_MAP.put("doc", "d0cf11e0a1b11ae10000"); // MS Excel 注意：word、msi 和 excel的文件头一样
//        FILE_TYPE_MAP.put("xls", "d0cf11e0a1b11ae10000"); // MS Excel 注意：word、msi 和 excel的文件头一样
//        FILE_TYPE_MAP.put("vsd", "d0cf11e0a1b11ae10000"); // Visio 绘图
//        FILE_TYPE_MAP.put("mdb", "5374616E64617264204A"); // MS Access (mdb)
//        // FILE_TYPE_MAP.put("pdf", "255044462d312e350d0a"); // Adobe Acrobat (pdf)
//        FILE_TYPE_MAP.put("pdf", "255044462d312e");
//        FILE_TYPE_MAP.put("flv", "464c56010500"); // flv与f4v相同
        FILE_TYPE_MAP.put("mp4", "000000206674");
        FILE_TYPE_MAP.put("mp3", "494433030000");
        FILE_TYPE_MAP.put("mpg", "000001ba2100"); //
        FILE_TYPE_MAP.put("wmv", "3026b2758e66"); // wmv与asf相同
        FILE_TYPE_MAP.put("wav", "52494646e278"); // Wave (wav)
        FILE_TYPE_MAP.put("avi", "52494646d07d");
//        FILE_TYPE_MAP.put("mid", "4d5468640000"); // MIDI (mid)
        FILE_TYPE_MAP.put("zip", "504b03041400");
//        FILE_TYPE_MAP.put("rar", "526172211a07");
//        FILE_TYPE_MAP.put("ini", "235468697320");
//        FILE_TYPE_MAP.put("jar", "504b03040a00");
//        FILE_TYPE_MAP.put("exe", "4d5a90000300");// 可执行文件
//        FILE_TYPE_MAP.put("jsp", "3c2540207061");// jsp文件
//        FILE_TYPE_MAP.put("xml", "3c3f786d6c2076657273");// xml文件
//        FILE_TYPE_MAP.put("sql", "494e5345525420494e54");// xml文件
//        FILE_TYPE_MAP.put("bat", "406563686f206f66660d");// bat文件
//        FILE_TYPE_MAP.put("chm", "49545346030000006000");// bat文件
//        FILE_TYPE_MAP.put("mxp", "04000000010000001300");// bat文件
//        FILE_TYPE_MAP.put("wps", "d0cf11e0a1b11ae10000");// WPS文字wps、表格et、演示dps都是一样的
//        FILE_TYPE_MAP.put("html", "3c21444f435459504520"); // HTML (html)
//        FILE_TYPE_MAP.put("rmvb", "2e524d46000000120001"); // rmvb/rm相同
//        FILE_TYPE_MAP.put("java", "7061636b616765207765");// java文件
//        FILE_TYPE_MAP.put("docx", "504b0304140006000800");// docx文件
//        FILE_TYPE_MAP.put("xlsx", "504b0304140006000800");// xlsx文件
//        FILE_TYPE_MAP.put("class", "cafebabe0000002e0041");// bat文件
//        FILE_TYPE_MAP.put("torrent", "6431303a637265617465");
//        FILE_TYPE_MAP.put("properties", "6c6f67346a2e726f6f74");// bat文件
//        FILE_TYPE_MAP.put("dbx", "CFAD12FEC5FD746F"); // Outlook Express (dbx)
//        FILE_TYPE_MAP.put("mov", "6D6F6F76"); // Quicktime (mov)
//        FILE_TYPE_MAP.put("wpd", "FF575043"); // WordPerfect (wpd)
//        FILE_TYPE_MAP.put("pst", "2142444E"); // Outlook (pst)
//        FILE_TYPE_MAP.put("qdf", "AC9EBD8F"); // Quicken (qdf)
//        FILE_TYPE_MAP.put("pwl", "E3828596"); // Windows pd (pwl)
//        FILE_TYPE_MAP.put("ram", "2E7261FD"); // Real Audio (ram)
    }
    /**
     * 得到上传文件的文件头
     *
     * @param src
     * @return
     */
    public static String bytesToHexString(byte[] src){
        StringBuilder stringBuilder = new StringBuilder();
        if(src == null || src.length <= 0){
            return null;
        }
        int tempLength=100;
        if(src.length<100){
            tempLength=src.length;
        }
        for(int i = 0; i < tempLength; i++){
            int v = src[i] & 0xFF;
            String hv = Integer.toHexString(v);
            if(hv.length() < 2){
                stringBuilder.append(0);
            }
            stringBuilder.append(hv);
        }
        return stringBuilder.toString();
    }

    /**
     * 根据制定文件的文件头判断其文件类型
     *
     * @param
     * @return
     */
    public static boolean getFileType(String fileType, byte[] fileBytes){
        boolean result = false;
        String fileCode = bytesToHexString(fileBytes).toLowerCase(Locale.ENGLISH);
        System.out.println(fileCode);
        String fileSourceCode = FILE_TYPE_MAP.get(fileType.toLowerCase(Locale.ENGLISH));
        if(fileCode.equals("")  || fileSourceCode.equals("")){
            return false;
        }
        System.out.println(fileSourceCode);
        System.out.println();
        if(fileSourceCode != null){
            if(fileSourceCode.toLowerCase(Locale.ENGLISH).startsWith(fileCode.toLowerCase())
                    || fileCode.toLowerCase(Locale.ENGLISH).startsWith(fileSourceCode.toLowerCase())){
                result = true;
            }
        }
        return result;
    }

    /**
     * 调用案例
     * @param args
     */
    public static void main(String[] args) {
//        File file = new File("/Users/admin/Desktop/111.jpg");
        File file = new File("/Users/admin/Desktop/111.png");
//        File file = new File("/Users/admin/Desktop/贝贝+-+我的天空++贝贝胜出.mp3");
        FileInputStream is;
        try {
            String fileName=file.getName();
            String suffix = fileName.substring(fileName.indexOf(".") + 1);
            is = new FileInputStream(file);
            byte[] b = new byte[16];
            is.read(b, 0, b.length);
            System.out.println(FileTools.getFileType(suffix, b));
        } catch (Exception e) {
            e.printStackTrace();
        }

    }
}

package org.llf.util;

import java.util.HashMap;
import java.util.Locale;
import java.util.Map;

/**
 * @Description : 判断文件上传的类型
 * @Date: 2022-07-20 14:42
 */
public class FileTypeUtils {

    // 默认判断文件头前三个字节内容
    public static int default_check_length = 3;
    final static HashMap<String, String> fileTypeMap = new HashMap<>();

    // 初始化文件头类型，不够的自行补充
    static {
        fileTypeMap.put("ffd8ffe000104a464946", "jpg");
        fileTypeMap.put("89504e470d0a1a0a0000", "png");
        fileTypeMap.put("47494638396126026f01", "gif");
        fileTypeMap.put("49492a00227105008037", "tif");
        fileTypeMap.put("424d228c010000000000", "bmp");
        fileTypeMap.put("424d8240090000000000", "bmp");
        fileTypeMap.put("424d8e1b030000000000", "bmp");
        fileTypeMap.put("41433130313500000000", "dwg");
        fileTypeMap.put("3c21444f435459504520", "html");
        fileTypeMap.put("3c21646f637479706520", "htm");
        fileTypeMap.put("48544d4c207b0d0a0942", "css");
        fileTypeMap.put("696b2e71623d696b2e71", "js");
        fileTypeMap.put("7b5c727466315c616e73", "rtf");
        fileTypeMap.put("38425053000100000000", "psd");
        fileTypeMap.put("46726f6d3a203d3f6762", "eml");
        fileTypeMap.put("d0cf11e0a1b11ae10000", "doc");
        fileTypeMap.put("5374616E64617264204A", "mdb");
        fileTypeMap.put("252150532D41646F6265", "ps");
        fileTypeMap.put("255044462d312e350d0a", "pdf");
        fileTypeMap.put("2e524d46000000120001", "rmvb");
        fileTypeMap.put("464c5601050000000900", "flv");
        fileTypeMap.put("00000020667479706d70", "mp4");
        fileTypeMap.put("49443303000000002176", "mp3");
        fileTypeMap.put("000001ba210001000180", "mpg");
        fileTypeMap.put("3026b2758e66cf11a6d9", "wmv");
        fileTypeMap.put("52494646e27807005741", "wav");
        fileTypeMap.put("52494646d07d60074156", "avi");
        fileTypeMap.put("4d546864000000060001", "mid");
        fileTypeMap.put("504b0304140000000800", "zip");
        fileTypeMap.put("526172211a0700cf9073", "rar");
        fileTypeMap.put("235468697320636f6e66", "ini");
        fileTypeMap.put("504b03040a0000000000", "jar");
        fileTypeMap.put("4d5a9000030000000400", "exe");
        fileTypeMap.put("3c25402070616765206c", "jsp");
        fileTypeMap.put("4d616e69666573742d56", "mf");
        fileTypeMap.put("3c3f786d6c2076657273", "xml");
        fileTypeMap.put("494e5345525420494e54", "sql");
        fileTypeMap.put("7061636b616765207765", "java");
        fileTypeMap.put("406563686f206f66660d", "bat");
        fileTypeMap.put("1f8b0800000000000000", "gz");
        fileTypeMap.put("6c6f67346a2e726f6f74", "properties");
        fileTypeMap.put("cafebabe0000002e0041", "class");
        fileTypeMap.put("49545346030000006000", "chm");
        fileTypeMap.put("04000000010000001300", "mxp");
        fileTypeMap.put("504b0304140006000800", "docx");
        fileTypeMap.put("6431303a637265617465", "torrent");
        fileTypeMap.put("6D6F6F76", "mov");
        fileTypeMap.put("FF575043", "wpd");
        fileTypeMap.put("CFAD12FEC5FD746F", "dbx");
        fileTypeMap.put("2142444E", "pst");
        fileTypeMap.put("AC9EBD8F", "qdf");
        fileTypeMap.put("E3828596", "pwl");
        fileTypeMap.put("2E7261FD", "ram");
    }

    /**
     * @param fileName
     * @return String
     * @description 通过文件后缀名获取文件类型
     */
    public static String getFileTypeBySuffix(String fileName) {
        return fileName.substring(fileName.lastIndexOf(".") + 1, fileName.length());
    }


    /**
     * 注意：这种循环遍历根据字节数组获取文件头的方法可能不一定正确,
     *      比如zip和docx类型的文件头,前面一串基本是一样的。
     * @param bytes
     * @return
     */
    public static String getFileTypeByMagicNumber(byte[] bytes) {
        try {
            // 获取文件头前三位魔数的二进制
            // 文件头前三位魔数二进制转为16进制                                                                          504b0304140000000800
            String code = bytesToHexString(bytes);
            for (Map.Entry<String, String> item : fileTypeMap.entrySet()) {
                // 这里其实只要用前三位或者前
                item.getKey().substring(0, 3);
                if (code.toLowerCase(Locale.ENGLISH).startsWith(item.getKey().toLowerCase(Locale.ENGLISH)) ||
                        item.getKey().toLowerCase(Locale.ENGLISH).startsWith(code.toLowerCase(Locale.ENGLISH))) {
                    return item.getValue();
                }
            }
        } catch (Exception e) {
            e.printStackTrace();
        }
        return "";
    }

    /**
     * @param bytes
     * @return String
     * @description 字节数组转为16进制
     */
    public static String bytesToHexString(byte[] bytes) {
        StringBuilder stringBuilder = new StringBuilder();
        for (int i = 0; i < bytes.length; i++) {
            int v = bytes[i] & 0xFF;
            String hv = Integer.toHexString(v);
            if (hv.length() < 2) {
                stringBuilder.append(0);
            }
            stringBuilder.append(hv);
        }
        return stringBuilder.toString();
    }
}