파일 업로드 보안: 검증 + 격리 + 스캔

1. 확장자 검증 (1차)
2. MIME type 검증 (2차)
3. Magic Byte 검증 (3차) — 가장 신뢰
4. 콘텐츠 검증 (4차) — 실제 처리

import { fileTypeFromBuffer } from 'file-type';

async function validateUpload(buffer: Buffer, mime: string) {
  // 1. file-type으로 실제 타입 감지
  const detected = await fileTypeFromBuffer(buffer);
  if (!detected) {
    throw new Error('Cannot detect file type');
  }

  // 2. 클라이언트가 보낸 MIME과 일치?
  if (detected.mime !== mime) {
    throw new Error(`MIME mismatch: ${mime} vs ${detected.mime}`);
  }

  // 3. 화이트리스트
  const ALLOWED = ['image/jpeg', 'image/png', 'image/webp', 'application/pdf'];
  if (!ALLOWED.includes(detected.mime)) {
    throw new Error('File type not allowed');
  }

  // 4. 크기
  if (buffer.length > 10 * 1024 * 1024) {
    throw new Error('File too large');
  }

  return detected;
}

// ❌ 같은 도메인에 호스팅 → XSS 위험
// example.com/uploads/user.html (악성)


// ✅ 별도 도메인 + Sandbox
// uploads.example.com 또는 cdn.example.com


// next.config.js
module.exports = {
  images: {
    remotePatterns: [
      { protocol: 'https', hostname: 'cdn.example.com' },
    ],
  },
};


// 응답 헤더 — 강제 다운로드
res.setHeader('Content-Disposition', 'attachment; filename="user-file.pdf"');
res.setHeader('X-Content-Type-Options', 'nosniff');

import { PutObjectCommand } from '@aws-sdk/client-s3';
import { getSignedUrl } from '@aws-sdk/s3-request-presigner';

app.post('/upload-url', authenticate, async (req, res) => {
  const { filename, contentType, size } = req.body;

  // 검증
  if (size > 10 * 1024 * 1024) return res.status(400).end();
  if (!ALLOWED_MIMES.includes(contentType)) return res.status(400).end();

  // 사용자 폴더로 격리
  const key = `users/${req.user.id}/${crypto.randomUUID()}-${sanitizeFilename(filename)}`;

  const command = new PutObjectCommand({
    Bucket: PRIVATE_BUCKET,        // public 노출 X
    Key: key,
    ContentType: contentType,
    ContentLength: size,           // 크기 제한
    Metadata: {
      uploaderId: req.user.id,
      uploadedAt: new Date().toISOString(),
    },
    ServerSideEncryption: 'AES256',
  });

  const url = await getSignedUrl(s3, command, { expiresIn: 300 });  // 5분
  res.json({ uploadUrl: url, key });
});


function sanitizeFilename(name: string) {
  return name
    .replace(/[^a-zA-Z0-9._-]/g, '_')
    .replace(/\.+/g, '.')
    .slice(0, 100);
}

// ClamAV (오픈소스)
import { NodeClam } from 'clamscan';

const clamscan = await new NodeClam().init({
  clamdscan: { socket: '/var/run/clamav/clamd.ctl' },
});


async function scanFile(buffer: Buffer) {
  const result = await clamscan.scanStream(Buffer.from(buffer));
  if (result.isInfected) {
    throw new Error(`Virus detected: ${result.viruses.join(', ')}`);
  }
}


// 또는 VirusTotal API
async function scanWithVT(buffer: Buffer) {
  const formData = new FormData();
  formData.append('file', new Blob([buffer]));

  const res = await fetch('https://www.virustotal.com/api/v3/files', {
    method: 'POST',
    headers: { 'x-apikey': process.env.VT_API_KEY! },
    body: formData,
  });
  return res.json();
}


// 또는 AWS S3 — Bucket Antivirus
// S3 + Lambda + ClamAV (Trend Micro 솔루션)

import sharp from 'sharp';

async function processImage(buffer: Buffer) {
  return sharp(buffer)
    .rotate()           // EXIF 회전 적용
    .removeMetadata()   // EXIF 제거 (위치 정보 등)
    .webp({ quality: 80 })
    .toBuffer();
}


// EXIF에 GPS 좌표·기기 정보 등 — 프라이버시 보호

import DOMPurify from 'isomorphic-dompurify';

async function processSVG(buffer: Buffer) {
  const text = buffer.toString();
  const clean = DOMPurify.sanitize(text, {
    USE_PROFILES: { svg: true, svgFilters: true },
  });
  return Buffer.from(clean);
}


// 또는 단순히 SVG 차단
const ALLOWED_MIMES = [
  'image/jpeg', 'image/png', 'image/webp', 'image/gif',
  // 'image/svg+xml',  // 제외
];

app.get('/files/:id/download', authenticate, async (req, res) => {
  const file = await db.file.findUnique({ where: { id: req.params.id } });

  // 권한 검증
  if (file!.userId !== req.user.id) return res.status(403).end();

  // S3 presigned URL (다운로드)
  const url = await getSignedUrl(
    s3,
    new GetObjectCommand({
      Bucket: PRIVATE_BUCKET,
      Key: file!.s3Key,
      ResponseContentDisposition: `attachment; filename="${encodeURIComponent(file!.originalName)}"`,
    }),
    { expiresIn: 60 }
  );

  res.redirect(url);
});

// ❌ 사용자 입력으로 경로 구성
const filePath = `/uploads/${req.params.filename}`;
// ?filename=../../../etc/passwd → 시스템 파일 노출


// ✅ 검증 + 격리
import path from 'path';

const SAFE_DIR = '/var/uploads';
const requested = path.join(SAFE_DIR, req.params.filename);

if (!requested.startsWith(SAFE_DIR)) {
  return res.status(403).end();
}

const safe = path.resolve(requested);
if (!safe.startsWith(path.resolve(SAFE_DIR))) {
  return res.status(403).end();
}