文件上传、会话与密钥管理应如何形成完整的漏洞治理闭环

# 核心结论

文件上传、会话与密钥管理分别对应内容、身份和机器凭证三类信任边界。完整治理不能只靠前端校验、长期 Cookie 或把密钥放入构建变量，而应由服务端与受控基础设施实施类型验证、隔离存储、会话轮换与撤销、最小权限和秘密轮换，并通过资产清单、风险分级、修复时限、回归测试和事件响应形成闭环。前端校验只能改善交互，不能成为最终安全结论。

# 底层机制

上传文件的扩展名和请求中的 Content-Type 都由客户端提供，可以伪造。服务端应根据业务建立类型许可列表，综合检查扩展名、声明类型、文件签名字节及实际解析结果。文件名应由服务端重新生成，原始名称只能作为经过转义的展示信息，不能拼接文件系统路径。除单文件