安全说明

安全基线

• 根据扩展名和真实MIME类型双重校验上传文件。
• 上传和输出文件存放在网站公开目录之外。
• 下载链接使用随机令牌并设置到期时间。
• 转换进程设置执行超时，正式环境建议放入受限容器。
• 后台、API、下载地址不加入搜索索引。

上线前必须配置

启用HTTPS、系统防火墙、PHP函数限制、ClamAV扫描、Nginx上传限制、Supervisor进程守护和定时清理。针对公开URL导入功能必须另行实施SSRF防护，因此当前版本没有开放该功能。