Rails，如何再次使CarrierWave再次上传SVG？

Question

我正在升级3到7的Rails应用程序。随着新应用程序载波停止，接受SVG文件以进行上传。以前，我可以在不处理此设置的情况下上传SVG文件，而无需处理版本：

class LogoUploader < CarrierWave::Uploader::Base

  include CarrierWave::MiniMagick
  include CarrierWave::MimeTypes

  process :set_content_type

  storage :file

  def store_dir
    "uploads/#{model.class.to_s.underscore}/#{model.id}"
  end

end

因为Carriwave Set_Content_Type的0.11.0版本似乎已被弃用。这使我的SVG上传器仅仅：

class LogoUploader < CarrierWave::Uploader::Base

  include CarrierWave::MiniMagick

  storage :file

  def store_dir
    "uploads/#{model.class.to_s.underscore}/#{model.id}"
  end

  def content_type_allowlist
    [/image\//]
  end

end

我不想转换SVG，并且上传受保护，仅适用于管理员。目前，我没有超越提交按钮。

尝试上传时，我现在得到以下响应：

Started PATCH "/admin/logos/18" for ::1 at 2022-06-18 10:01:19 +0200
Processing by Admin::LogosController#update as TURBO_STREAM
  Parameters: {"authenticity_token"=>"[FILTERED]", "logo"=>{"file_name"=>#<ActionDispatch::Http::UploadedFile:0x00007ff1803932c0 @tempfile=#<Tempfile:/var/folders/yg/pfjwzpkx5wq9d27svk760h0h0000gn/T/RackMultipart20220618-29575-j47l79.svg>, @original_filename="some-name.svg", @content_type="image/svg+xml", @headers="Content-Disposition: form-data; name=\"logo[file_name]\"; filename=\"some-name.svg\"\r\nContent-Type: image/svg+xml\r\n">}, "commit"=>"Save", "id"=>"18"}
  ...
Completed 200 OK in 92ms (Views: 10.5ms | ActiveRecord: 0.5ms | Allocations: 8188)

我尝试添加[/image \/svg+xml //]> content_type_allowlist并超出了提交按钮，但收到了错误“ nil位置”提供的。

Parameters:

{"_method"=>"patch",
 "authenticity_token"=>"[FILTERED]",
 "logo"=>
  {"file_name"=>
    #<ActionDispatch::Http::UploadedFile:0x00007fb111dae5c0
     @content_type="image/svg+xml",
     @headers="Content-Disposition: form-data; name=\"logo[file_name]\"; filename=\"some-name.svg\"\r\n" + "Content-Type: image/svg+xml\r\n",
     @original_filename="some-name.svg",
     @tempfile=#<File:/var/folders/yg/pfjwzpkx5wq9d27svk760h0h0000gn/T/RackMultipart20220618-86477-ij7mr4.svg>>},
 "commit"=>"Save",
 "id"=>"18"}

我想我遇到了CVE-2016-3714缓解载体。在 ruby​​docs 使用RSVG代表进行SVG处理。

如何禁用ImageMagick的默认SVG委托？如何使用RSVG委托？

先感谢您。

Answer 1

我发现，就我的情况而言，它与ImageMagick无关，而是与Rails 5引入的属性的验证

。这意味着，在我的设置（无SVG文件的转换）中，您仍然可以上传SVG。

class Logo < ApplicationRecord

  mount_uploader :file_name, LogoUploader

  belongs_to :institution, optional: true

...

end

我仍然很好奇有人在Ubuntu和MacOS上都必须如何配置ImageMagick。如果您知道，请分享...