病毒扫描上传的文件

Question

我有一个网络应用程序，它允许用户将文件上传到网络服务器，然后将它们保存到数据库中。其中一位安全人员表示，我需要做的就是尝试将文件保存到将启动病毒扫描的 Web 服务器。然后我可以删除该文件并将其保存到数据库中。但是，我对此感到担忧：

1. 如果我将文件临时保存到网络服务器，如果发现病毒，文件会无法保存吗？
   • 如果失败，我应该期待什么类型的异常？
2. 从命令行运行病毒扫描程序是否更好？
3. 这样安全吗？阅读这篇文章：File upload security Concern 我担心这一行：“确保您将保存到的目录不被 Web 服务器读取，这样他们就不会上传恶意脚本，然后通过浏览器通过HTTP"

Answer 1

一些防病毒软件供应商提供基于服务器的工具，可让您以编程方式提交要扫描的文件。例如，我们通过 ICAP 接口使用了 Symantec Scan Engine（请参阅http://www.symantec.com/business/support/index?page=content&id=TECH83878）。

其他防病毒软件供应商也有提供相同或相似功能的其他工具。