アバター画像のバリデーションにMime-Typeを使うようにした #7759
Conversation
|
@unikounio |
|
@rira100000000 さん |
|
@unikounio @kyokucho1989 |
|
@rira100000000 |
test/system/users_test.rb
Outdated
| @@ -570,6 +570,14 @@ class UsersTest < ApplicationSystemTestCase | |||
| assert_match(/#{user.id}\.png$/, img.native['src']) | |||
| end | |||
|
|
|||
| test 'can upload broken image as user avatar' do | |||
There was a problem hiding this comment.
can not upload だと思いますー
app/models/user.rb
Outdated
| mime_type = fm.buffer(uploaded_avatar.read) | ||
| return if mime_type.start_with?('image/png', 'image/jpg', 'image/jpeg', 'image/gif', 'image/heic', 'image/heif') | ||
|
|
||
| errors.add(:avatar, 'はPNG, JPG, GIF, HEIC, HEIF形式にしてください') |
There was a problem hiding this comment.
このエラーメッセージは正確ではないと思います。
壊れたファイルでも拡張子はJPGだったりするので。
:avatar, 'は指定された拡張子(PNG, JPG, GIF, HEIC, HEIF形式)になっていないか、あるいは画像が破損している可能性があります'
というふうに変更するのが良いかと。
|
@rira100000000 |
|
@kyokucho1989 |
|
@kyokucho1989 @komagata |
|
@rira100000000 改めて仕様について考えてみてました。 そこで、最初にお話しした仕様と違ってしまって二度手間になってしまって大変もうしわけないのですが、アップロードのところはmime-typeだけのチェックにして、表示する場所で壊れたファイルであってもページ全体が表示されないのを防ぐような実装をお願いできれば幸いです。 なぜかというと、１つにはruby-magickのようなネイティブアプリと連携するものを使いたくないからです。 もう１つにはmagicを使う方法（バイナリの中身を見て判別する方法）は原理的に完璧にはできず、どちらにしろ完璧にはできないので、webのアイコン画像のvalidationにつかうのはあまりみたこともなく、too muchなやり方だと思ったからです いまさらになって大変もうしわけないですが、宜しくお願い致します。 |
|
@komagata validationをすり抜けた場合ですが、 |
rira100000000
changed the title
Issue
概要
アバター画像のバリデーションにruby-filemagic を使うようにしました。※Marcelを使うようにしました。アバター画像のバリデーションにMarcelを使ったMime-Typeのチェックを加えました。
受け入れるべきファイル形式であるかをファイルの実体から判別するようになるため、拡張子偽装したファイルや形式判別不可能なファイルをアバターとして登録することを防ぐことができます。
変更確認方法
feature/add_validation_to_broken_imageをローカルに取り込むforeman start -f Procfile.devでサーバーを立ち上げるhttp://localhost:3000/current_user/editにアクセスするScreenshot
変更前
変更後