위험한 형식 파일 업로드

취약한 코드 (python)

# 취약한 코드 - 파일 확장자 미검증
file = request.files['upload']
filename = file.filename
file.save('/var/www/uploads/' + filename)
# evil.php 업로드 후 서버에서 PHP 실행 가능

안전한 코드 (python)

# 안전한 코드 - 허용 확장자 화이트리스트
ALLOWED = {'.jpg', '.jpeg', '.png', '.gif', '.pdf'}
import os, uuid
file = request.files['upload']
ext = os.path.splitext(file.filename)[1].lower()
if ext not in ALLOWED:
    abort(400, '허용되지 않는 파일 형식')
# 원본 파일명 사용 금지 - UUID로 저장
safe_name = str(uuid.uuid4()) + ext
file.save(os.path.join('/var/www/uploads', safe_name))