Uploads e Armazenamento de Arquivos

Especialista em lidar com uploads de arquivos e armazenamento em nuvem. Abrange S3, Cloudflare R2, URLs pré-assinadas, uploads multipart e otimização de imagens. Sabe como lidar com arquivos grandes sem bloquear.

Função: Especialista em Upload de Arquivos

Cuidadoso com segurança e desempenho. Nunca confia em extensões de arquivo. Sabe que uploads grandes precisam de tratamento especial. Prefere URLs pré-assinadas em vez de proxy de servidor.

Princípios

• Nunca confie nas alegações de tipo de arquivo do cliente
• Use URLs pré-assinadas para uploads diretos
• Transmita arquivos grandes, nunca armazene em buffer
• Valide no upload, otimize depois

Pontos Críticos

Confiar no tipo de arquivo fornecido pelo cliente

Gravidade: CRÍTICA

Situação: O usuário carrega malware.exe renomeado para image.jpg. Você verifica a extensão, parece bom. Armazena. Serve. Outro usuário baixa e executa.

Sintomas:

• Malware carregado como imagens
• Content-type incorreto servido

Por que isso falha: Extensões de arquivo e cabeçalhos Content-Type podem ser falsificados. Atacantes renomeiam executáveis para contornar filtros.

Correção recomendada:

VERIFIQUE BYTES MÁGICOS

import { fileTypeFromBuffer } from "file-type";

async function validateImage(buffer: Buffer) { const type = await fileTypeFromBuffer(buffer);

const allowedTypes = ["image/jpeg", "image/png", "image/webp"];

if (!type || !allowedTypes.includes(type.mime)) { throw new Error("Tipo de arquivo inválido"); }

return type; }

// Para streams import { fileTypeFromStream } from "file-type"; const type = await fileTypeFromStream(readableStream);

Sem restrições de tamanho de upload

Gravidade: ALTA

Situação: Sem limite de tamanho de arquivo. Atacante carrega arquivo de 10 GB. Servidor fica sem memória ou disco. Negação de serviço. Ou conta de armazenamento massiva.

Sintomas:

• Servidor trava em uploads grandes
• Contas de armazenamento massivas
• Exaustão de memória

Por que isso falha: Sem limites, atacantes podem esgotar recursos. Mesmo usuários legítimos podem acidentalmente carregar arquivos enormes.

Correção recomendada:

DEFINA LIMITES DE TAMANHO

// Formidable const form = formidable({ maxFileSize: 10 * 1024 * 1024, // 10MB });

// Multer const upload = multer({ limits: { fileSize: 10 * 1024 * 1024 }, });

// Verificação inicial no lado do cliente if (file.size > 10 * 1024 * 1024) { alert("Arquivo muito grande (máximo 10MB)"); return; }

// URL pré-assinada com limite de tamanho const command = new PutObjectCommand({ Bucket: BUCKET, Key: key, ContentLength: expectedSize, // Forçar tamanho });

Nome de arquivo controlado pelo usuário permite travessia de diretório

Gravidade: CRÍTICA

Situação: Usuário carrega arquivo chamado "../../../etc/passwd". Você usa o nome do arquivo diretamente. Arquivo salvo fora do diretório de upload. Arquivos do sistema sobrescritos.

Sintomas:

• Arquivos fora do diretório de upload
• Acesso a arquivos do sistema

Por que isso falha: A entrada do usuário nunca deve ser usada diretamente em caminhos de arquivo. Sequências de travessia de diretório podem escapar dos diretórios pretendidos.

Correção recomendada:

SANITIZE NOMES DE ARQUIVO

import path from "path"; import crypto from "crypto";

function safeFilename(userFilename: string): string { // Extrai apenas o nome base const base = path.basename(userFilename);

// Remove quaisquer caracteres de caminho restantes const sanitized = base.replace(/[^a-zA-Z0-9.-]/g, "_");

// Ou melhor: gere um novo nome completamente const ext = path.extname(userFilename).toLowerCase(); const allowed = [".jpg", ".png", ".pdf"];

if (!allowed.includes(ext)) { throw new Error("Extensão inválida"); }

return crypto.randomUUID() + ext; }

// Nunca faça isso const path = "uploads/" + req.body.filename; // PERIGO!

// Faça isso const path = "uploads/" + safeFilename(req.body.filename);

URL pré-assinada compartilhada ou em cache incorretamente

Gravidade: MÉDIA

Situação: URL pré-assinada para arquivo privado retornada na resposta da API. Resposta em cache pela CDN. Qualquer pessoa com a URL em cache pode acessar o arquivo privado por horas.

Sintomas:

• Arquivos privados acessíveis via URLs em cache
• Acesso após expiração

Por que isso falha: URLs pré-assinadas concedem acesso temporário. Se em cache ou compartilhadas, o acesso se estende além do escopo pretendido.

Correção recomendada:

CONTROLE A DISTRIBUIÇÃO DE URL PRÉ-ASSINADA

// Expiração curta para arquivos sensíveis const url = await getSignedUrl(s3, command, { expiresIn: 300, // 5 minutos });

// Cabeçalhos no-cache para respostas de URL pré-assinadas return Response.json({ url }, { headers: { "Cache-Control": "no-store, max-age=0", }, });

// Ou use URLs assinadas do CloudFront para mais controle

Verificações de Validação

Apenas verificando a extensão do arquivo

Gravidade: CRÍTICA

Mensagem: Verifique bytes mágicos, não apenas a extensão

Ação de correção: Use a biblioteca file-type para verificar o tipo real

…