Discourseがアップロードされたファイルを誤って画像として検出する

Arkshine · 2023 年 11 月 18 日午後 6:26

この問題について調査しました。

要するに、あなたのファイルは、この種のファイルと同じシグネチャで始まるため、JPEGとして検出されています。
Discourseでこの動作を修正することは可能ですが、変更が必要です。（最後に参照）

技術的な詳細をいくつか示します。
この問題はここで始まります：

lib/upload_creator.rb

main


      
          @image_info =
            begin
              FastImage.new(@file)
            rescue StandardError
              nil
            end
          is_image = FileHelper.is_supported_image?(@filename)
          is_image ||= @image_info && FileHelper.is_supported_image?("test.#{@image_info.type}")
          is_image = false if @opts[:for_theme]
          is_thumbnail = SiteSetting.video_thumbnails_enabled && @opts[:type] == "thumbnail"

FastImageライブラリはファイルを開き、タイプとサイズを決定します。
予想どおり、JPEGというタイプが返されます。

JPEGシグネチャを見ると、次のようになります。

JPEGマーカー

詳細情報：List of file signatures - Wikipedia
JPEG - Wikipedia

常に次のマーカーバイトで始まります：FF D8

サンプルファイルをHexエディタで確認すると、同じように始まっていることがわかります。

次に、FastImageがJPEGをどのように検出するかを見ると、ここで確認できます。

github.com/sdsykes/fastimage

lib/fastimage.rb

master


      
          # frozen_string_literal: true
          # coding: ASCII-8BIT
          
          # FastImage finds the size or type of an image given its uri.
          # It is careful to only fetch and parse as much of the image as is needed to determine the result.
          # It does this by using a feature of Net::HTTP that yields strings from the resource being fetched
          # as soon as the packets arrive.
          #
          # No external libraries such as ImageMagick are used here, this is a very lightweight solution to
          # finding image information.
          #
          # FastImage knows about GIF, JPEG, BMP, TIFF, ICO, CUR, PNG, HEIC/HEIF, AVIF, PSD, SVG, WEBP and JXL files.
          #
          # FastImage can also read files from the local filesystem by supplying the path instead of a uri.
          # In this case FastImage reads the file in chunks of 256 bytes until
          # it has enough. This is possibly a useful bandwidth-saving feature if the file is on a network
          # attached disk rather than truly local.
          #
          # FastImage will automatically read from any object that responds to :read - for
          # instance an IO object if that is passed instead of a URI.

This file has been truncated. show original

ただし、必要なバイトがすべて存在しないため、画像情報を抽出することはできません。

Discourseでこの問題をどのように修正しますか？
FastImageのコードを見ると、渡すことができる便利なオプションがあります。

github.com/sdsykes/fastimage

lib/fastimage.rb

master


      
          # frozen_string_literal: true
          # coding: ASCII-8BIT
          
          # FastImage finds the size or type of an image given its uri.
          # It is careful to only fetch and parse as much of the image as is needed to determine the result.
          # It does this by using a feature of Net::HTTP that yields strings from the resource being fetched
          # as soon as the packets arrive.
          #
          # No external libraries such as ImageMagick are used here, this is a very lightweight solution to
          # finding image information.
          #
          # FastImage knows about GIF, JPEG, BMP, TIFF, ICO, CUR, PNG, HEIC/HEIF, AVIF, PSD, SVG, WEBP and JXL files.
          #
          # FastImage can also read files from the local filesystem by supplying the path instead of a uri.
          # In this case FastImage reads the file in chunks of 256 bytes until
          # it has enough. This is possibly a useful bandwidth-saving feature if the file is on a network
          # attached disk rather than truly local.
          #
          # FastImage will automatically read from any object that responds to :read - for
          # instance an IO object if that is passed instead of a URI.

This file has been truncated. show original

このオプションを使用すると、エラー（SizeNotFound、ImageFetchFailure、CannotParseImage、UnknownImageType、BadImageURI）が発生しても画像情報は返されず、ファイルは画像として検出されなくなります。

@image_info =
  begin
    FastImage.new(@file, :raise_on_failure => true)
  rescue StandardError
    nil
  end
...
is_image ||= @image_info && FileHelper.is_supported_image?("test.#{@image_info.type}")

その後、機能するはずです：

後でPRを作成できます。このオプションの使用は理にかなっています。

トピック		返信	表示
Security checks on uploads Support	35	7876	2018 年 12 月 2 日
Incorrect mime-types (content-type header) for mp4 and js Bug	10	1276	2025 年 1 月 7 日
Something missing in "Select images or files from your device ()"? Bug	5	1193	2015 年 10 月 22 日
Faster (and smaller) uploads in Discourse with Rust, WebAssembly and MozJPEG \| Blog Blog	35	5705	2025 年 5 月 13 日
Add the .svg file extension to "image files" Feature	18	1692	2025 年 10 月 10 日

Discourseがアップロードされたファイルを誤って画像として検出する

関連トピック