Cách Tạo Hệ Thống Upload File An Toàn Với Node.js và Multer

npm init -y
npm install express multer fs-extra

const express = require('express');
const multer = require('multer');
const path = require('path');
const fs = require('fs');

const app = express();

// Tạo thư mục uploads nếu chưa có
const uploadDir = 'uploads';
if (!fs.existsSync(uploadDir)) {
  fs.mkdirSync(uploadDir);
}

// Cấu hình Multer
const storage = multer.diskStorage({
  destination: (req, file, cb) => {
    cb(null, uploadDir);
  },
  filename: (req, file, cb) => {
    // Đặt tên file an toàn, tránh overwrite
    const uniqueSuffix = Date.now() + '-' + Math.round(Math.random() * 1E9);
    cb(null, uniqueSuffix + path.extname(file.originalname));
  }
});

// Filter file type
function fileFilter(req, file, cb) {
  const allowedTypes = /jpeg|jpg|png|gif|pdf/;
  const extname = allowedTypes.test(path.extname(file.originalname).toLowerCase());
  const mimetype = allowedTypes.test(file.mimetype);
  if (extname && mimetype) {
    return cb(null, true);
  } else {
    cb(new Error('Chỉ cho phép upload file ảnh và PDF'));
  }
}

// Giới hạn kích thước file
const limits = {
  fileSize: 1024  1024  5 // 5MB
};

const upload = multer({
  storage: storage,
  fileFilter: fileFilter,
  limits: limits
});

app.post('/upload', upload.single('file'), (req, res) => {
  if (!req.file) {
    return res.status(400).json({ error: 'Không tìm thấy file' });
  }
  res.json({
    message: 'Upload thành công',
    file: {
      originalname: req.file.originalname,
      filename: req.file.filename,
      size: req.file.size,
      mimetype: req.file.mimetype
    }
  });
});

// Xử lý lỗi Multer
app.use((err, req, res, next) => {
  if (err instanceof multer.MulterError) {
    return res.status(400).json({ error: 'Lỗi upload file' });
  }
  if (err) {
    return res.status(400).json({ error: err.message });
  }
  next();
});

4. Kiểm tra file type và nội dung

Không nên chỉ dựa vào phần mở rộng file. Sử dụng package file-type để kiểm tra magic number (dữ liệu nhận dạng định dạng file):

npm install file-type

const fileType = require('file-type');

async function checkFileType(file) {
  const buffer = await file.stream.slice(0, 4100).buffer();
  const type = await fileType.fromBuffer(buffer);
  const allowedTypes = ['image/jpeg', 'image/png', 'image/gif', 'application/pdf'];
  return allowedTypes.includes(type?.mime);
}

5. Đặt file ngoài thư mục public và đổi tên file

Lưu file trong thư mục không thể truy cập trực tiếp qua URL. Nếu cần phục vụ file, tạo route riêng và kiểm tra quyền truy cập:

app.get('/files/:filename', (req, res) => {
  const filePath = path.join(uploadDir, req.params.filename);
  if (fs.existsSync(filePath)) {
    res.sendFile(filePath);
  } else {
    res.status(404).json({ error: 'File không tồn tại' });
  }
});

6. Giới hạn số lượng file và kích thước upload

Với multiple upload:

upload.array('files', 5) // tối đa 5 file

Hoặc dùng upload.fields() cho form phức tạp.

Các thực hành bảo mật bổ sung

– Quét virus: Tích hợp công cụ quét virus như ClamAV.
– Dọn dẹp định kỳ: Xóa file cũ hoặc không sử dụng.
– Ghi log: Lưu lại mọi hoạt động upload để audit.
– Dùng HTTPS: Mã hóa dữ liệu truyền tải.
– Validate trên client: Giúp trải nghiệm tốt hơn, nhưng không thay thế validate server.

Kết luận

Xây dựng hệ thống upload file an toàn không chỉ đơn thuần là lưu file vào server. Nó đòi hỏi sự cẩn trọng trong từng bước: kiểm soát định dạng, giới hạn kích thước, đặt tên file an toàn, lưu trữ ở vị trí thích hợp, và luôn validate cả client lẫn server. Multer là công cụ mạnh mẽ, nhưng developer phải chủ động bổ sung các lớp bảo mật. Với những thực hành này, bạn có thể tự tin cung cấp tính năng upload file mà vẫn bảo vệ hệ thống trước các mối đe dọa.