# 客戶上傳的附件，員工可以直接打開嗎？企業先驗收五項檔案邊界

- 網址：https://www.edgedeploy.tw/blog/website-file-upload-security-checklist
- 分類：中小企業資安
- 發佈日期：2026-09-22
- 更新日期：2026-09-22
- 作者：邊境部署

> 網站開放履歷、報價或證件附件，不只是多一個表單欄位。本文用五項驗收問題，協助企業確認允許格式、內容檢查、隔離、下載權限與保存期限，避免惡意檔案、資料外露與容量失控。

求職者把履歷上傳到網站，客戶把報價附件送進詢價表單，員工在後台看到檔名後就直接下載、開啟。從使用者畫面看來，這只是多了一個「選擇檔案」欄位；從企業營運看來，網站已經開始接收外部人提供的內容，還要決定誰能讀、何時能開、放多久，以及異常檔案怎麼處理。

這像店面增設包裹代收櫃。不能只看紙箱外面寫著「文件」就直接送進辦公室，也不能因為裝了監視器就假設內容安全。合理流程是先限制尺寸與種類，在獨立區域登記、檢查，再把通過的包裹交給正確的人；逾期或退件也要有清楚處理方式。

## 附件不是一般表單欄位

副檔名是檔名最後的 `.pdf`、`.jpg` 等標示，方便人與系統辨識格式，但可以被改寫。瀏覽器送出的檔案類型也只是使用者端提供的說明，不能單獨證明內容真的符合格式。開放全球網頁應用程式安全計畫（OWASP）因此建議同時限制允許格式、檢查實際內容、重新命名、限制大小與權限，並把檔案放在不會被網站直接執行的位置。

問題不只是在找病毒。超大檔案或壓縮後暴增的內容可能吃滿容量；原始檔名可能碰撞或帶入不適合系統處理的字元；公開下載網址可能讓不該看到的人取得履歷、證件或合約；而掃描服務本身若會把檔案傳給外部平台，也可能新增資料去向。沒有單一檢查可以包辦全部風險。

一旦入口被塞滿，詢價、求職或理賠流程可能停止收件；員工開啟危險附件，風險也會從網站延伸到工作裝置與內部資料。即使沒有入侵，只要附件交錯、誤寄或長期留存，企業仍要負擔查找、通知、清理與重建信任的成本。

## 用五個問題驗收上傳流程

1. **業務真的需要哪些格式與大小？** 求職可能只需 PDF，商品圖片可能只需特定影像格式。只封鎖幾個危險副檔名，仍可能漏掉其他形式；應先列出允許清單、單檔大小、檔案數量與失敗提示。
2. **系統檢查的是名稱，還是實際內容？** 除了副檔名與瀏覽器宣稱的類型，還要檢查檔案內容是否符合預期格式。OWASP ASVS 5.0（應用程式安全驗證標準）把大小限制、格式與內容一致性列為可驗收要求。掃毒可再降低已知惡意內容風險，但不代表通過就絕對安全。
3. **檢查完成前，檔案放在哪裡？** 新檔應先進入隔離區，不要立即出現在公開網址，也不要讓網站伺服器把它當程式執行。原始檔名可留作顯示，但實際儲存名稱應由系統產生，避免覆蓋與路徑問題。
4. **誰可以查看、下載與轉寄？** 履歷、證件、報價與理賠附件可能包含個人資料。要依案件與職務限制讀取，記錄重要下載，並確認網址轉寄後是否仍會檢查登入身分，而不是拿到連結就永久可讀。
5. **多久刪除，失敗與異常由誰處理？** 定義保存期限、容量告警、掃描失敗、無法解析及誤判的處理人。台灣《個人資料保護法》第 5 條要求資料處理不逾越特定目的必要範圍，第 11 條也規範目的消失或期限屆滿後的刪除或停止處理原則。

明顯警訊包括：只在畫面限制副檔名、任何人都能匿名大量上傳、上傳後立刻公開、員工從正式環境直接開啟未知文件、掃描失敗仍照常交付，以及沒有人知道附件保存在主機、信箱、客服系統還是外部掃描服務。

## 便宜方案少的，常是隔離與例外處理

完全停用附件最省維護，也能把資料改由既有的受控管道收取，但會增加客戶與員工操作成本。只接受單一低風險格式、限制容量並由人工確認，適合量少且流程單純的場景；缺點是人工下載與轉寄仍要管權限。

自動掃描、把文件拆解後重新產生較乾淨版本的內容重建、等待檢查的隔離清單與案件權限，能支援較大量的流程，卻需要處理誤判、掃描逾時、服務故障與外部傳送邊界。便宜方案若只包含「可以上傳」，沒有說明檢查、隔離、下載、保存與異常處理，企業買到的是入口，不是完整的檔案流程。

## 今天先追一個測試檔案

準備不含真實個資的測試 PDF，再準備改錯副檔名、超過限制、重複檔名與未登入下載四種情境。記下每一步的結果：使用者畫面是否擋下、網站伺服器是否再次驗證、檔案實際存放位置、何時可供員工開啟、網址是否需要登入，以及刪除後有哪些副本仍存在。

不要把真實惡意程式上傳到正式網站，也不要用客戶文件測試外部掃描服務。若廠商說已處理好，可要求提供允許格式與容量設定、隔離流程圖、權限角色、失敗紀錄、保存期限，以及一份不含敏感內容的測試證據。

## 自行處理的邊界與接洽準備

附件量少、格式單純、只供少數授權人員查看時，企業可先縮小允許格式、設定容量與期限，並用測試帳號驗證下載權限。若流程接受履歷、證件、財務或醫療資料，會自動解析文件，允許壓縮檔，或檔案要跨網站、客服、信箱與第三方平台流動，就需要網站、資安、資料治理與實際使用部門共同盤點及測試。

接洽前可準備表單網址、允許格式、每日檔案量、最大容量、資料敏感程度、查看角色、目前儲存與掃描服務、保存期限及異常案例。邊境部署可以協助把「能上傳」拆成入口限制、內容驗證、隔離、授權、保存與例外處理的驗收清單；若關閉附件或改用既有受控管道就足夠，也不必先建置複雜系統。

## 查證來源

- [OWASP：File Upload Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/File_Upload_Cheat_Sheet.html)
- [OWASP ASVS 5.0：File Upload and Content](https://cornucopia.owasp.org/taxonomy/asvs-5.0/05-file-handling/02-file-upload-and-content)
- [全國法規資料庫：個人資料保護法](https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=I0050021)