后台文件上传：验证内容，不只看扩展名

客户端可伪造扩展名和 MIME 类型，因此上传服务还要检查文件签名、尺寸和图像可解析性。文件名不应直接进入服务器路径或对象存储 key。

将原始上传写入隔离位置，必要时进行病毒扫描和异步转码。私有文件通过授权后的短时 URL 或应用层代理访问；删除必须考虑数据库引用与异步存储操作的一致性。