SRC 实战|对象存储content-type覆盖导致的cdn域名存储型 XSS

很多上传点的防护都放在“上传那一刻”：限制后缀、检查文件头、控制大小、强制写入 Content-Type。这些检查当然有用，但它们只覆盖了前半段。