[修改]修复文件类型上传漏洞

manailin

2022-06-21 f7a6c0dfd508eeeef3a1724b6dfe4c7f983397cb

 springcloud_k8s_panzhihuazhihuishequ/applets/src/main/java/com/panzhihua/applets/api/CommonApi.java

@@ -15,6 +15,8 @@

import com.panzhihua.applets.config.MinioUtil;
import com.panzhihua.common.controller.BaseController;
import com.panzhihua.common.utlis.MimeTypeUtils;
import net.coobird.thumbnailator.Thumbnails;
import org.apache.commons.io.FilenameUtils;
import org.apache.commons.lang3.RandomUtils;
import org.springframework.beans.factory.annotation.Value;
@@ -40,6 +42,8 @@
import io.swagger.annotations.Api;
import io.swagger.annotations.ApiOperation;
import lombok.extern.slf4j.Slf4j;

import static com.panzhihua.common.utlis.FileTypeUploadUtils.assertAllowed;

/**
 * @program: springcloud_k8s_panzhihuazhihuishequ
@@ -76,6 +80,8 @@
    private int port;
    @Value("${ftp.url}")
    private String url;
    @Value("${minio.url}")
    private String minUrl;
    @Resource
    private WxMaConfiguration wxMaConfiguration;
    @Resource
@@ -150,6 +156,7 @@
    @PostMapping(value = "/uploadimages", consumes = "multipart/*", headers = "content-type=multipart/form-date")
    public R uploadImages(@RequestParam MultipartFile file, HttpServletRequest request) {
        try {
            assertAllowed(file, MimeTypeUtils.DEFAULT_ALLOWED_EXTENSION);
            String extension = FilenameUtils.getExtension(file.getOriginalFilename());
            String name = UUID.randomUUID().toString().replaceAll("-", "") + "." + extension;
            String imageUrl = minioUtil.upload(file, name);
@@ -160,6 +167,25 @@
        }
    }

    @ApiOperation(value = "新上传照片压缩接口")
    @PostMapping(value = "/uploadimagescompress", consumes = "multipart/*", headers = "content-type=multipart/form-date")
    public R uploadImagesComPress(@RequestParam MultipartFile file, HttpServletRequest request) {
        try {
            assertAllowed(file, MimeTypeUtils.DEFAULT_ALLOWED_EXTENSION);
            String extension = FilenameUtils.getExtension(file.getOriginalFilename());
            String uuid=UUID.randomUUID().toString().replaceAll("-", "");
            String name = uuid  + "."+ extension;
            minioUtil.upload(file, name);
            Thumbnails.of(file.getInputStream()).scale(0.3).outputQuality(0.51).outputFormat("jpg").toFile(uuid+"_compress");
            File file1=new File(uuid+"_compress.jpg");
            String imageUrl = minioUtil.uploadFile(file1, uuid+"_compress.jpg");
            return R.ok(imageUrl);
        } catch (Exception e) {
            log.error("上传照片失败【{}】", e.getMessage());
            return R.fail();
        }
    }

    @ApiOperation(value = "发送验证码")
    @PostMapping(value = "smscode")
    public R smscode(@RequestBody UserPhoneVO userPhoneVO) {