在文件上传过程中拒绝嵌入 JavaScript 代码的 PDF 文件。 （XSS）

Question

我有一个应用程序，我在客户端使用

Angular

，在服务器端使用

.NET core

。 该应用程序允许用户将 PDF 文件上传到系统，以便稍后查看。如何在文件上传过程中拒绝嵌入

JavaScript

代码的 PDF 文件以防止跨站脚本 (XSS)？

Answer 1

一般无法确定客户端是否有病毒/木马或上传的病毒/木马文件。

大多数脚本化表单通常可能具有此类内容（一个很好的理由不将其称为 .pdf，而是说 .XFA 或 .XMP，而不是愚蠢的 .PDF）

文件上传后，您只能知道可以在实验室的何处运行诊断，以查看内部脚本是安全（良性）还是癌性。

将责任放在导入点可能是毫无意义的，除非您提供防病毒上传程序，该程序充分利用客户端设备在文件上传时分解和分析客户端硬盘扇区。

无法区分 %PDF-i

*

fect 和 %PDF-i

*

fect，其中一个是 mper，另一个是 n