Dateiuploads: Warum die Dateiauswahl keine Sicherheitsprüfung ersetzt

Auswahlhilfe und Annahme unterscheiden

Ein Dateifeld kann mit „accept“ passende Dateitypen im Auswahlfenster nahelegen. MDN erklärt, dass diese Angabe keine zuverlässige Validierung ersetzt. Die Anwendung muss hochgeladene Inhalte selbst prüfen. Die OWASP-Empfehlungen für Uploads beschreiben dafür mehrere Schutzschichten, etwa erlaubte Dateitypen, Größenbegrenzungen, sichere Namen und einen geeigneten Speicherort.

Dieser Fachratgeber betrachtet ein Beispielprojekt, in dem ein Verein Veranstaltungsfotos entgegennimmt. Er ist keine Behauptung über einen bereits fertigen Upload in einer Skrabi-Vorschau. Die Regeln müssen in der tatsächlich entwickelten Anwendung umgesetzt und getestet werden.

Den erlaubten Fall zuerst festlegen

Für unser Beispiel werden nur Fotos benötigt. Schreibe deshalb ausdrücklich auf, welche Bildformate und Größen die Anwendung annimmt. Ein allgemeines „alle Dateien erlauben“ würde den eigentlichen Bedarf unnötig ausweiten. Definiere außerdem, wer hochladen darf und wer ein Foto veröffentlichen kann. Hochladen und Veröffentlichen sind getrennte Entscheidungen.

Die Oberfläche soll diese Regeln vor der Dateiauswahl erklären. Nach einer Ablehnung brauchen Nutzer eine verständliche Meldung, etwa dass die Datei zu groß ist oder nicht dem erlaubten Format entspricht. Interne Serverpfade oder technische Geheimnisse gehören nicht in die Fehlermeldung. Das ursprünglich gewählte Bild darf nicht einfach als erfolgreich angenommen erscheinen.

Harmlose Gegenproben vorbereiten

Prüfe mit einem eigenen kleinen Bild den erlaubten Normalfall. Verwende danach ein zu großes Testbild und eine harmlose Textdatei, deren Dateiendung lediglich wie ein Bild aussieht. Die Tests gehören in deine eigene Entwicklungsumgebung. Damit kontrollierst du, ob nur der Dateiname betrachtet wird oder die serverseitige Annahme tatsächlich weitere Regeln berücksichtigt.

Lege zwei Testkonten mit unterschiedlichen Rollen an. Kann das einfache Mitglied nur die vorgesehenen Dateien sehen? Darf eine nicht freigegebene Person einen direkten Downloadlink aufrufen? Wird ein abgelehntes Bild wirklich nicht öffentlich erreichbar? Solche Fragen betreffen die gesamte Verarbeitung, nicht nur den sichtbaren Uploadknopf.

Speicherung und Pflege mitliefern

Verlange eine Dokumentation, wo Originale und gegebenenfalls bearbeitete Versionen liegen, wie sie gesichert werden und wer sie entfernen darf. Die öffentliche Darstellung sollte kontrollierte Dateinamen und passende Bildabmessungen verwenden. Für bestehende Dateien braucht es einen nachvollziehbaren Umgang mit späteren Änderungen.

Ein erfolgreicher Test eines einzelnen Fotos beweist keine vollständige Sicherheit. Er ist der Anfang einer gezielten Abnahme mit erlaubten und abgelehnten Fällen. Wenn diese Fälle und die Rollen sauber beschrieben sind, kann ein Entwicklungsassistent einen wesentlich konkreteren Upload bauen als auf den bloßen Wunsch nach einem Dateifeld.