网站文件上传功能需要注意的一些细节问题

雨点打透心脏的1/2处 2021-06-22 15:36 598阅读 0赞

# 上传的一些细节 #

接下来我们研究一下文件上传中的一些细节问题：

## 一、把上传的文件放到WEB-INF目录下 ##

如果没有把用户上传的文件存放到WEB-INF目录下，那么用户就可以通过浏览器直接访问上传的文件，这是非常危险的。  
假如说用户上传了一个a.jsp文件，然后用户在通过浏览器去访问这个a.jsp文件，那么就会执行a.jsp中的内容，如果在a.jsp中有如下语句：`Runtime.getRuntime().exec(“shutdown –s –t 1”);`，那么你就会…

通常我们会在WEB-INF目录下创建一个uploads目录来存放上传的文件，而在Servlet中找到这个目录需要使用ServletContext的`getRealPath(String)`方法。

例如我们在项目中可以写如下语句：

ServletContext servletContext = this.getServletContext();
    String savepath = servletContext.getRealPath(“/WEB-INF/uploads”);

## 二、文件名称相关问题 ##

### 1. 文件名中带有绝对路径的问题 ###

有的浏览器上传的文件名是绝对路径，这个时候我们就需要切割文件名。  
IE6获取的上传文件名称是完整路径，而其他浏览器获取的上传文件名称只是文件名称而已。浏览器差异的问题我们还是需要处理一下的。

String name = file1FileItem.getName();
    response.getWriter().print(name);

使用不同浏览器测试，其中IE6就会返回上传文件的完整路径，不知道IE6在搞什么，这给我们带来了很大的麻烦，就是需要处理这一问题。  
处理这一问题也很简单，无论是否为完整路径，我们都去截取最后一个“`\`”后面的内容就可以了。

String name =file1FileItem.getName();
    int lastIndex = name.lastIndexOf("\\");
    //获取最后一个“\”的位置
    if(lastIndex != -1) { 
    //注意，如果不是完整路径，那么就不会有“\”的存在。
    	name = name.substring(lastIndex + 1);
    	//获取文件名称
    }
    response.getWriter().print(name);

### 2. 文件名乱码或者普通表单项乱码问题 ###

当上传的文件名称中包含中文时，需要设置编码，commons-fileupload组件为我们提供了两种设置编码的方式：

*  `request.setCharacterEncoding(String)`：这种方式是我们最为熟悉的方式了；
 *  `fileUpload.setHeaderEncdoing(String)`：这种方式的优先级高于前一种，如果同时使用上述两种设置编码的方法，优先使用的是第二种方法所设置的编码方式。

### 3. 文件同名问题 ###

通常我们会把用户上传的文件保存到uploads目录下，但如果用户上传了同名文件呢？这会出现覆盖的现象。处理这一问题的手段是使用UUID生成唯一名称，然后再使用“`_`”连接文件上传的原始名称。  
例如用户上传的文件是“`我的一寸照片.jpg`”，在通过处理后，文件名称为：“`891b3881395f4175b969256a3f7b6e10_我的一寸照片.jpg`”，这种手段不会使文件丢失扩展名，并且因为UUID的唯一性，上传的文件同名，但在服务器端是不会出现同名问题的。  
其实代码很简单：

filename = CommonUtils.uuid() +"_" + filename;

## 三、文件过多的问题（目录打散） ##

尽管我们把上传的文件保存在upload文件夹下，可是我们也不能在同一个文件夹下存放太多文件，否则我们在访问文件时就可能造成服务器的延迟和卡顿。

也就是说，我们需要把上传的文件放到不同的目录中。但是也不能为每个上传的文件一个目录，这种方式会导致目录过多。所以我们应该采用某种算法来“打散”！打散的方法有很多，例如使用日期来打散，每天生成一个目录。也可以使用文件名的首字母来生成目录，相同首字母的文件放到同一目录下。但是，如果我们使用日期打散算法，如果某一天上传的文件过多，那么也会出现一个目录文件过多的情况；如果使用首字母打散算法，如果文件名是中文的，因为中文过多，所以会导致目录过多的现象。

**所以我们综合考虑，我们这里使用hash算法来打散：**

1.  获取文件名称的hashCode：`int hCode = name.hashCode();`；
2.  把hashCode的值转换成16进制 `0~9`，`A~F`；
3.  获取16进制的前两位用来生成目录，例如：`1B2C3D4E5F`，就保存在/1/B/ 目录下。

**示例代码：**

public class Upload3Servlet extends HttpServlet { 
    	public void doPost(HttpServletRequest request, HttpServletResponse response)
    			throws ServletException, IOException { 
    		request.setCharacterEncoding("utf-8");
    		response.setContentType("text/html;charset=utf-8");
    		// 得到工厂类
    		DiskFileItemFactory factory = new DiskFileItemFactory();
    		// 创建解析器
    		ServletFileUpload sfu = new ServletFileUpload(factory);
    		try { 
    			// 解析，得到List
    			List<FileItem> fileItemList = sfu.parseRequest(request);
    			FileItem fi = fileItemList.get(1);
    			// 得到文件保存的路径
    			String root = this.getServletContext().getRealPath(
    					"/WEB-INF/files/");
    			// ----- 生成两层目录
    			// 得到文件名称
    			String filename = fi.getName();
    			/* * 处理文件名称的绝对路径问题 */
    			int index = filename.lastIndexOf("\\");
    			if (index != -1) { 
    				filename = filename.substring(index + 1);
    			}
    			/* * 处理文件重名问题，给文件名添加UUID */
    			String savename = CommonUtils.uuid() + "_" + filename;
    			// 得到hashCode
    			int hCode = filename.hashCode();
    			// 转换成16进制
    			String hex = Integer.toHexString(hCode);
    			// 获取前两个字符用来生成文件目录
    			File dirFile = new File(root, hex.charAt(0) + "/" + hex.charAt(1));
    			// 创建目录链
    			dirFile.mkdirs();
    			// 创建目录文件
    			File destfFile = new File(dirFile, savename);
    			// 保存
    			fi.write(destfFile);
    		} catch (FileUploadException e) { 
    			throw new RuntimeException(e);
    		} catch (Exception e) { 
    			throw new RuntimeException(e);
    		}
    	}
    }

## 四、上传文件大小的限制 ##

### 1. 对单个文件大小的限制 ###

限制上传文件的大小很简单，使用`ServletFileUpload类`的`setFileSizeMax(long)`就可以了。但是这个方法要在解析开始之前调用。  
参数就是上传文件的上限字节数，例如`servletFileUpload.setFileSizeMax(1024*10)`表示上限为10KB。  
一旦上传的文件超出了上限，那么就会抛出`FileUploadBase.FileSizeLimitExceededException`异常。我们可以在Servlet中获取这个异常，然后向页面输出“上传的文件超出限制”。

例如做以下处理：  
![在这里插入图片描述][2020021617434328.png]

### 2. 对整个请求中所有的文件大小进行限制 ###

有时我们需要限制一个请求的大小。也就是说这个请求的最大字节数（所有表单项之和）！实现这一功能也很简单，只需要调用`ServletFileUpload类`的`setSizeMax(long)`方法即可。  
例如`fileUpload.setSizeMax(1024 * 10);`，显示整个请求的上限为10KB。当请求大小超出10KB时，ServletFileUpload类的`parseRequest()`方法会抛出`FileUploadBase.SizeLimitExceededException`异常。

## 五、缓存大小与临时目录 ##

如果一个文件很大，我们就没法一下子把文件读到内存中然后上传到服务器。  
所以fileupload组件不可能把文件都保存在内存中，fileupload会判断文件大小是否超出10KB，如果是那么就把文件保存到硬盘上，如果没有超出，那么就保存在内存中。  
**10KB是fileupload默认的值，我们可以来设置它。**  
**当文件保存到硬盘时，fileupload是把文件保存到系统临时目录，当然你也可以去设置临时目录。**

例如：

DiskFileItemFactory dfif = new DiskFileItemFactory(1024*20, new File("F:\\temp"));

这表示：  
指定缓存大小为20KB，当上传的文件超出了20KB就会保存到临时目录。临时目录为F:\\temp。

--------------------

END.

[2020021617434328.png]: /images/20210615/5fed67358d744a028f90d87b0bab9417.png