接受用户上传时的 S3 安全最佳实践

Question

对于涉及用户上传大量图像和视频的网络和/或移动社交应用程序，确保用户不使用此类平台传播任何病毒或其他恶意文件的最佳做法是什么？我知道 AWS Marketplace 附加组件可以主动和追溯地扫描文件，但它们似乎会为每次上传附加不可忽略的成本。我很好奇 Tumblr、Twitter、Facebook、SnapChat、OnlyFans、Flickr、Reddit、Slack 或 Imgur 等网站是否真的使用 Sophos 或 CloudAV 扫描发送到其服务器的every 文件？我意识到我可以更新我的存储桶策略以仅允许某些文件扩展名（而不是文件类型），但我也看到报告说恶意代码可以存在于元数据 png 或 jpg 文件中，因此此类策略似乎无效。

我在网络安全领域没有任何实际经验，所以我不知道我是不是想多了，但如果有处理大规模用户上传的实际经验的人可以提供一些见解，那就更好了赞赏。

我考虑过的一些事情：

• 扫描上传样本（例如 randomInt() % 10 == 0）（很容易被多次上传打败）
• 对于图像：将图像上传到 Bucket A，触发 S3 事件，lambda 获取事件，调整图像大小或以其他方式重写图像，然后将结果写入 Bucket B，用户可以从中访问它。 （比 CloudAV 和 Sophos 便宜，但不处理视频）
• 我看错了，我对网络安全有根本性的误解

我读过但似乎没有解决我的问题的其他一些答案：

Amazon S3 最佳实践

用户使用 S3 上传的最佳实践是什么？

从 Amazon S3 向全球交付用户生成的内容共享服务的最佳实践是什么？

如何使用基于浏览器的 S3 上传验证文件的内容？（提供的解决方案没有解决不准确的文件扩展名并且是客户端，这看起来很弱）