網站提供檔案上傳很方便：求職者可附履歷，客戶可提供需求文件，編輯也能上傳圖片與下載資料。但每一個上傳入口，都是外部內容進入系統的管道。若沒有規則，可能面臨惡意檔案、超大檔案耗用資源、敏感資料被不當保存，或管理者誤開可疑附件等問題。
檔案上傳的安全，不是只靠安裝一個外掛或設定單一按鈕，而是從「是否真的需要上傳」、「允許什麼」、「上傳後去哪裡」到「誰可以存取」建立流程。不同網站功能的風險與需求不同，先盤點再設定，通常比直接套用嚴格限制更有效。
盤點所有外部與內部上傳入口
先列出網站上有哪些地方可以接收檔案，包括聯絡表單、徵才表單、會員功能、客服系統串接、商品評論，以及後台媒體庫。不要忽略舊頁面或測試功能，因為它們常在改版後仍持續存在。
對每個入口確認以下問題：
- 上傳檔案是否為完成此任務的必要條件。
- 允許哪些格式、單檔大小與檔案數量。
- 上傳者是一般訪客、已登入會員，還是內部人員。
- 檔案會存在哪裡、誰能下載，以及保存多久。
- 出現可疑檔案或上傳失敗時，由誰處理。
如果表單只需要文字說明，未必需要開放附件。若確實需要收件，也可評估讓使用者先提供聯絡資料，後續再透過合適管道交換文件，避免網站成為長期檔案收集區。
限制格式與容量，但不要只相信副檔名
網站應依實際用途設定允許格式。例如一般文件需求可限定常見文件或圖片格式；不需要的可執行檔、指令檔與其他高風險類型不應接受。單一檔案大小、一次可上傳數量與總容量也要有合理上限，避免惡意或無意的大量上傳影響主機資源。
但副檔名可以被偽裝，因此系統端還需要檢查檔案實際類型，並避免讓上傳檔案在公開目錄中被當成程式執行。這類技術設定應交由熟悉網站環境的開發或維護人員處理，不能只依賴表單前端的提示。
使用者端則要清楚看到可接受格式與大小限制，若上傳失敗，提示應說明原因與替代做法。過於模糊的錯誤訊息會增加客服負擔，也可能讓真正的詢問流失。
建立檢查、通知與保存規則
收到外部附件後，不應急著直接開啟。內部人員應使用受管理的裝置與防護工具檢查，對寄件來源不明、檔名異常或內容不合理的檔案提高警覺。通知信中最好只提供必要資訊，避免敏感附件被任意轉寄。
同時決定檔案保存期限。履歷、身分文件、報價資料或其他可能包含個人資訊的附件，不宜因為「以後可能用到」就無限期保留。當保存目的結束後，應依公司既有流程刪除或移轉至受控管的位置。這也能減少日後整理與誤傳的風險。
內部媒體檔案同樣要管理。建立命名方式、上傳者與用途紀錄，定期清理不再使用的大型檔案。網站速度與儲存成本，往往也會因此得到改善。
定期測試，而不是設定後就忘記
每次更換表單工具、調整主機環境或新增會員功能後，都應重新測試上傳限制與通知流程。確認合法檔案可順利處理，也確認不符合規則的檔案會被拒絕且留下足夠紀錄。若委外維護，應在交接文件中寫明上傳規則與異常通報窗口。
安全措施的目的不是讓使用者無法操作，而是在便利與風險之間做出符合業務情境的選擇。先管好必要的入口，就能大幅降低不必要的暴露面。
今天可以先做的事
- 列出網站所有可上傳檔案的表單、會員與後台入口。
- 關閉沒有明確用途的附件功能，並設定必要入口的格式與容量限制。
- 指定收到外部附件後的檢查人員與處理方式。
- 為含敏感資訊的附件訂出保存期限與定期清理時間。
