安全：修复上传接口三个真实漏洞（可执行文件落盘 / 限流可绕过 / 真上传无限流） (#5)

## 用户提问

「上传视频和图片的接口，有没有限制？会不会所有人通过 POST 都能随意上传？」

## 结论：防护大多到位，但存在三个真实漏洞

已核实有效的：CSRF、扩展名白名单、MIME 白名单、filesize 实测大小、
is_uploaded_file、类型开关、总量上限、uploads 目录 .htaccess 禁直连禁执行、
附件只走 media.php 代理。

但以下三个是真问题：

### 1. 🔴 可执行文件能写进 uploads/（最严重）

MIME 只校验**前端上报的字符串**，从不检测文件真实内容。

实测：把 `<?php system($_GET[c]); ?>` 改名成 .png、POST 里写
`mime=image/png`，一路通过所有检查写入磁盘。已确认真实文件内容：

    00000000: 3c3f 7068 7020 7379 7374 656d 2824 5f47  <?php system($_G

虽然 uploads/.htaccess 禁了脚本执行，但那是**唯一一道防线** ——
换 nginx、改配置、目录迁移，任何一步疏忽就是 RCE。

修法：新增 fb_upload_detect_mime()，用 finfo 读文件头魔数
（getimagesize 兜底），在 **move_uploaded_file 之前**校验真实类型。
不合格返回 415 并拒绝落盘。

### 2. 🔴 伪造 X-Forwarded-For 可无限绕过所有限流

fb_client_ip() 无条件信任 CF-Connecting-IP / X-Forwarded-For / X-Real-IP，
而这些头客户端随便写。

实测（upload_per_hour=2，连发 6 次、每次换个 XFF）：

    200,200,200,200,200,200   ← 上限 2 却全放行

影响面不止上传：fb_ip_hash() 用同一个函数，所以发帖限流、验证码频率、
所有基于 IP 的限制全部失效。

修法：默认只用 REMOTE_ADDR（客户端改不了）。新增 trusted_proxies 配置，
只有请求确实来自受信任代理/CDN 时才解析转发头，且只取**最右一跳**
（最左边是用户自己塞的，取最左等于把伪造的当前者）。

### 3. 真上传（action=put）没有限流

fb_rate_hit(upload) 只在领凭证时记一次，真正写盘那一段完全没有
fb_rate_check。拿到一个凭证后可反复 POST 覆盖写入。

修法：真上传独立限流 upload_put（与领凭证分开计数，避免互相挤占），
落地成功后才 fb_rate_hit。

## 验证：fb_upload_security.py，19 项

正常代码 **19/19**，覆盖：
- 无 CSRF 被拒 / 正常访客能传
- 限流生效（上限 3 连发 10 次 → 429 x8）
- 三种转发头都无法绕过
- PHP 伪装落地被拒（415，检测到 text/x-php）+ 未落盘
- .php/.phtml/.svg 全拒
- 存储关闭被拒
- 谎报 size 后落地仍用 filesize 拦住 + 未落盘
- uploads 防护文件完备（Require all denied / -Indexes / 禁脚本扩展）
- media.php 代理正常

## 反向验证（关键）

把三处修复全部回退后重跑，出现 4 项 FAIL：

    OPEN  改 XFF 不能绕过限流      上限2/6次: 200,200,200,200,200,200 放行 6
    OPEN  三种转发头都无法绕过      放行 9
    OPEN  伪装内容落地被拒         put 200
    OPEN  伪装内容没有落盘         磁盘=True      ← PHP 代码真的写进去了

证明测试确实能抓到，不是假通过。

## 测试踩的坑（写进注释）

- 领凭证必须带 ext/size/mime，缺了会返回「不支持的文件格式」，
  容易误判成「格式校验生效了」
- key 是 local/2026/11/x.png，实际落盘在 uploads/2026/11/x.png，
  直接拿 key 拼 FB_ROOT 判断「是否落盘」永远为 false → 假通过
- php -S 内置服务器不读 .htaccess，不能用 HTTP 状态验目录防护，
  改为检查防护文件内容（线上 Apache 实测 /uploads/ → 403）

## 回归

全新安装 33/33、邮件专项 73/73、配置守护 6/6。

upload.php

@@ -80,6 +80,17 @@ if ($putAt) {
     $ext = fb_upload_key_ext($key);
     if (!fb_upload_ext_ok($kind, $ext)) { fb_up_json(['ok' => false, 'error' => '不支持的文件格式。'], 400); }
 
+    /* 🔴 真上传（action=put）必须独立限流。
+     * 原先只有「领凭证」那一步记 fb_rate_hit，
+     * 拿到一个新凭证后可以反复 POST action=put 覆盖写入，次数完全不受限。
+     * 这里用同一个每小时额度，但独立计数（upload_put），
+     * 避免领凭证与落地互相挤占导致正常用户被误拦。
+     */
+    $putLimit = (int)fb_upload_cfg('upload_per_hour', 60);
+    if (!fb_rate_check('upload_put', $putLimit)) {
+        fb_up_json(['ok' => false, 'error' => '上传过于频繁，请稍后再试。'], 429);
+    }
+
     if (empty($_FILES['file']) || !is_array($_FILES['file'])) {
         fb_up_json(['ok' => false, 'error' => '没有收到文件。'], 400);
     }
@@ -102,6 +113,27 @@ if ($putAt) {
     if ($mime === '') { $mime = fb_upload_mime_of_ext($ext); }
     if (!fb_upload_mime_ok($kind, $mime)) { fb_up_json(['ok' => false, 'error' => '不支持的文件类型。'], 400); }
 
+    /* 🔴 关键：用文件真实内容再验一次 MIME，不信前端上报。
+     *
+     * 事故：把 PHP 代码改名成 .png、POST 里写 mime=image/png，
+     *      就能一路通过所有检查写进 uploads/。
+     *      实测确认文件内容就是 `<?php system($_GET['c']); ?>`。
+     *      虽然 .htaccess 禁了脚本执行，但那是唯一一道防线 ——
+     *      换 nginx / 改配置 / 目录迁移，任何一步疏忽就是 RCE。
+     *
+     * 这里在**写盘之前**用 finfo 读文件头魔数，
+     * 真实类型必须也在白名单里，否则直接拒绝。
+     */
+    $realMime = fb_upload_detect_mime((string)$f['tmp_name']);
+    if ($realMime !== '' && !fb_upload_mime_ok($kind, $realMime)) {
+        fb_up_json([
+            'ok'    => false,
+            'error' => '文件内容与声明的类型不符（检测到 ' . $realMime . '），已拒绝。',
+        ], 415);
+    }
+
+    fb_rate_hit('upload_put');   // 真正落地一次才计数
+
     // 二次确认总量上限（防止并发绕过）
     $pdo = fb_db();
     $cap = (int)fb_upload_cfg('total_cap_bytes', 0);