程序员：开发完成文件上传功能，可以正常上传任意文件
hack测试：发现文件上传功能，没有做任何限制，导致可以上传脚本并执行
程序员：在前端使用js限制一下文件上传的后缀吧
hack测试：使用burp上传并提交，绕过js验证，还是可以利用上传脚本
程序员：在服务器限制一下文件上传的后缀`，禁止上传php\html等后缀
hacke测试：你的黑名单验证没有写全，可以上传php3后缀的文件
程序员：限制白名单，只允许上传png\gif文件
hacke测试：上传的时候用00截断，比如xx.php.png，上传之后变成xx.php,又成功执行了
程序员：上传的文件名进行随机化处理，随机字符串+图片后缀
hacke测试：利用平台的解析漏洞，在上传的文件中添加代码，进行解析
程序员：升级版本，检测图片内容，如果又恶意字符禁止上传策略，检测图片头，不满足条件不允许上传
程序员：绝招，把用户上传的所有文件存放在阿里云OSS中存储，不在web服务，就算上传脚本也只能下载不能解析
