Next.js AI 文件上传安全流水线：隔离、扫描与受控解析

AI 产品的“上传文件并提问”不是普通表单附件功能。文件会经过浏览器、Next.js 接口、对象存储、病毒扫描、PDF 或 Office 解析器、文本切分、向量索引，最终进入模型上下文。攻击者只要在任一环节利用超大压缩包、伪造格式、解析器漏洞、跨租户对象键或文档内提示注入，就可能把一次上传变成资源耗尽、数据泄露甚至后续回答污染。

安全边界应从第一天画清：浏览器提供的文件名、扩展名、Content-Type、大小和客户端校验结果都只是提示，不是信任依据。Next.js 服务端负责鉴权和签发最小权限上传许可；隔离存储接收原始字节；独立工作进程完成校验与解析；只有通过所有门禁的派生文本才能进入检索系统。

大文件不要先穿过应用进程内存

小型头像可由 Route Handler 读取 FormData，但 AI 文档往往几十或几百 MB。若先将完整请求读入应用内存，再转发对象存储，并发上传会迅速消耗实例内存和连接。更稳妥的流程是两阶段直传：客户端先调用“初始化上传”，服务端验证用户、租户、配额、允许类型和预期大小，生成随机 uploadId 与短期、单对象、限大小的签名许可；浏览器直接上传到隔离桶；完成后再调用“确认上传”。

签名许可不能允许任意对象键或无限有效期，也不能只靠文件名区分租户。对象键由服务端生成，例如租户 ID 的内部映射加随机标识，原始文件名仅作为经过清洗的展示元数据。确认接口重新读取对象存储报告的真实大小、校验和与版本，不能信任客户端声称“上传成功”。重复确认通过幂等键返回同一任务，避免重复解析和计费。

跨域直传只开放精确的生产 Origin、必要方法与头部。不要用宽泛 CORS 代替鉴权，也不要把长期云存储凭证交给浏览器。相关 Web 边界可结合 CORS 与 CSP 安全实践 复核。

文件进入隔离区后再决定它是什么

上传状态可定义为 initiated -> uploaded -> validating -> scanning -> parsing -> ready，任一门禁失败进入带原因码的 rejected。ready 之前的对象不能被下载接口公开，也不能被检索任务读取。校验至少包含以下方面：

• 同时检查扩展名、声明类型和文件特征字节，三者冲突时拒绝或进入人工检查；
• 限制原始大小、解压后总大小、文件数量、嵌套深度、页数、像素和解析耗时，防止压缩炸弹与复杂度攻击；
• 使用维护中的恶意软件扫描器，并把扫描引擎版本和结果写入审计记录；
• 在低权限、无外网或严格出网、受 CPU 与内存限制的隔离工作进程中运行解析器；
• 对加密、损坏、宏、嵌入对象或不支持格式给出明确结果，不要尝试“尽量解析”后静默放行。

扫描与解析必须面向不可变的对象版本和校验和，防止检查的是 A、随后处理的却是被替换的 B。原始文件、派生文本、缩略图和向量索引分别记录来源哈希，删除时沿血缘清理。上传防护还应纳入 OWASP Top 10 实战 中的访问控制、日志与依赖治理，而不只是文件扩展名白名单。

通过扫描不代表内容可以相信

恶意软件扫描解决的是字节层威胁，不能判断文档里的自然语言是否在诱导模型泄露系统提示、忽略权限或调用危险工具。解析后的文本仍是不可信数据。检索时先应用租户与文档权限过滤，再将证据放入明确的数据边界；系统提示要求模型把文档内容当作证据而非指令；高风险工具调用必须独立授权。具体可结合 Prompt Injection 防御 与 RAG 检索权限控制 建立双重门禁。

解析文本还要防止跨文档元数据污染。标题、作者、页码等字段由解析器写入结构化列，不能直接拼接为系统指令。HTML 文件不应把原始脚本或事件属性带到预览界面；预览优先使用安全派生格式，并设置严格 CSP。任何用户可控 URL 都不能由服务端解析器无条件抓取，以免变成 SSRF 通道。

下载和删除同样需要授权

即使对象键不可猜，也不能当作权限控制。下载请求根据当前身份、租户、文件状态和会话关系重新鉴权，再签发极短期读取地址或由受控接口转发。响应使用安全的 Content-Disposition 和 X-Content-Type-Options: nosniff；可内联预览的格式单独列白名单，其他类型强制附件下载。

删除操作应立即阻止新访问，并异步清理原始对象、派生内容、索引块、缓存和备份策略允许删除的副本。若解析任务正在运行，任务在每个阶段检查撤销状态，不能在用户删除后又把结果写回 ready。

验收测试应包含伪造 MIME、双扩展名、零字节文件、超大文件、压缩炸弹、损坏 PDF、含宏文档、重复确认、越权下载、签名过期、扫描超时、解析中删除以及恶意文档指令。生产指标观察各状态停留时间、拒绝原因、扫描器错误率、每租户字节配额、解析资源消耗和孤儿对象数量。只有上传、处理、使用、下载、删除全生命周期都受控，AI 文件功能才具备生产安全性。