為什麼聯絡我們表單不建議上傳檔案或圖片？

網站技術》為什麼聯絡我們表單不建議上傳檔案或圖片？常被忽略的資安問題｜天矽網頁設計

常見問題

目錄
➤ 為什麼不建議「聯絡我們表單」上傳檔案或圖片？
➤ 聯絡我們表單：檔案上傳對資安的影響？
➤ 哪種情況下可以上傳檔案或圖片
➤ 小結

不少網站都會設置「聯絡我們」表單，讓使用者在閱覽網站時能透過填寫「聯絡我們」表單與網站業主進行聯繫，常見聯絡我們表單欄位有：姓名、電話、Email、諮詢項目、諮詢內容(留言板)，除了這些欄位，有些客戶會詢問是否可以於表單上傳「檔案」或「圖片」，通常是不建議的。

為什麼不建議「聯絡我們表單」上傳檔案或圖片？

不少網站會設置「聯絡我們表單」，常見表單欄位有：姓名、電話、Email、諮詢項目、諮詢內容(留言板)，有些客戶會詢問是否可於表單上傳「檔案」或「圖片」，通常是不建議的。

從系統與資訊安全的角度來看，在聯絡我們表單上傳「檔案」或「圖片」，會影響網站資安風險，由於網站無法完全信任每位使用者提供的檔案是否安全、檔案格式是否有被偽裝、甚至是夾帶病毒；此外，檔案上傳也會增加系統的儲存與流量，且會提供被濫用與遭垃圾檔案攻擊的風險。因此，如果只是做為網站初步聯繫，建議以「文字欄位」為主。

▲聯絡我們表單範例 (以天矽科技官網為例)

※補充說明：表單回覆有字數限制嗎？由於表單回覆通常沒有後台（客戶如有後台需求除外），沒有後台的情況下，僅是單純Mail收信，所以沒有字數限制。

聯絡我們表單：檔案上傳對資安的影響？

從聯絡我們表單上傳「檔案」或「圖片」，具有一定資安風險，主要原因在於網站無法完全驗證使用者上傳檔案的實際內容，即使限制檔案格式或副檔名，仍可能被偽裝成惡意程式，並且會對系統造成影響，進而引發資安風險。

以下列出實際可能產生的資安風險會有哪些：

資安風險示意圖	資安風險名稱	說明
	檔案夾帶惡意程式或風險	不管是上傳「檔案」或「圖片」，經使用者上傳的檔案都有可能被偽裝或夾帶惡意程式，對主機也可能造成威脅。
	檔案格式偽裝	就算限制檔案類型，也有可能被惡意繞過，導致系統接收不安全的檔案。
	伺服器入侵風險	若檔案上傳位置或檔案上傳權限設定不當，駭客有可能針對上傳檔案的動作執行不當程式，進一步入侵主機系統。
	資料外洩風險	如果上傳的檔案含敏感資料，例如身份證字號、內部文件，若檔案處理不當，則可能會有資料外洩的狀況、或違反個資保護法規。因此，應避免在聯絡我們表單上傳檔案或圖片。
	增加主機儲存空間、流量	如果檔案大小太大，且有多位使用者上傳，也會增加主機系統的儲存空間與流量。