B2B 询价附件怎么收，才不会把客户图纸变成公共链接？

B2B 询价附件应默认私有：只允许业务必需的文件类型，服务器重新判断格式并生成存储名，把文件放在 Web 根目录之外或私有对象存储中，每次读取都校验所属询价和当前用户权限。上传成功不等于文件安全；扫描、访问日志、保留期限和删除机制同样要进入验收。

关键结论

五条底线比一个上传按钮重要

• 接受附件前先问“业务是否真的需要”，允许列表越短越好。
• 扩展名和浏览器上报的 Content-Type 都不能单独证明文件真实类型。
• 原始文件名只用于受控显示；存储路径和下载地址由系统生成，不让用户决定。
• 文件默认不公开；知道 URL、文件名或附件 ID 不能成为访问凭证。
• 记录谁在何时上传、查看和删除，但日志里不要写入图纸正文、令牌或其他敏感内容。

先缩小允许上传的范围

按业务场景建立允许列表

询价页面不需要接受互联网存在的所有格式。机械加工可能需要 PDF、STEP 或受控 CAD 格式；包装印刷可能需要 PDF 和特定图片；普通产品选型也许只需要 PDF 与 JPG。由业务负责人说明每种格式的用途、最大体积、谁能查看、保存多久，并为高风险格式提供更安全的替代方式。

文件类别	示例用途	控制建议
PDF	规格书、图纸导出件	校验签名，扫描；必要时进行内容净化
图片	铭牌、现场照片	限尺寸与像素，重新编码，移除不需要的元数据
CAD/三维文件	加工或适配评估	单独允许列表、隔离预览、限制查看角色
压缩包	多文件集合	默认不接收；确有需要时限制层级、数量与解压后总体积
可执行或脚本文件	通常无正当询价用途	拒绝

OWASP 的文件上传安全清单建议采用允许列表、检查文件签名、重命名文件、限制大小、限制授权用户，并将文件存放在 Web 根目录之外。它也明确提醒：不能信任客户端提供的 Content-Type，单个检查手段不足以覆盖所有风险。

体积限制要覆盖“解压之后”

最大文件大小不只用于节省磁盘。它还限制扫描耗时、邮件通知负担和拒绝服务风险。若允许压缩包，应限制文件数量、目录层级、单文件体积和解压后的总体积，拒绝递归压缩与异常压缩比。不要把附件原件作为邮件附件在团队内部反复转发；通知邮件只提供需登录且短期有效的查看入口。

从上传到存储，原始文件名不参与路径

一条安全处理链应该怎样走

1. 在认证或受控公开询价上下文中接收上传请求，并绑定产品和询价草稿。
2. 对扩展名做规范化，拒绝双重扩展名、尾随点、控制字符和危险字符。
3. 在服务器端检查实际文件签名和内容特征；不要只看 MIME 头。
4. 生成不可预测的内部 ID 与存储名，把原始文件名作为独立元数据保存。
5. 执行病毒扫描；适合的 PDF 或办公文档可考虑内容解除与重建（CDR）。
6. 写入隔离区或私有对象存储，扫描通过后再进入可供授权角色读取的状态。
7. 返回不暴露真实路径的附件 ID，并在询价提交时完成归属绑定。

文件名 ../../public/drawing.pdf、quote.pdf.php 或包含方向控制字符的名称，都不应有机会影响服务器路径。OWASP 的输入验证清单同样适用于原始文件名、备注、附件 ID 和请求参数：类型、长度、字符集、范围与业务关系都要在服务端检查。

默认私有：每次读取都验证“谁在看哪份询价”

URL 不是权限证明

最常见的设计错误，是上传时看似成功地把文件放进某个目录，却生成一个任何人拿到都能访问的永久 URL。更换随机长文件名只能降低猜中概率，不能替代鉴权。下载处理器应先验证当前用户、所属组织或项目、询价归属和角色权限，再从安全存储读取文件；客户补充或删除自己的附件，也要受到同样的归属检查。

访问场景	应验证的关系	不应依赖
客户提交前预览	上传会话、询价草稿、短期令牌	文件名或 Referer
客户提交后补充	询价编号、已验证邮箱或受控链接、有效期限	仅知道询价编号
销售查看	当前账户、项目归属、询价权限	附件 ID 可枚举性
技术下载	角色、业务需要、项目归属、审计记录	内网 IP 本身
删除与到期清理	文件归属、状态和保留策略	目录前缀字符串匹配

NIST SP 800-209 的存储基础设施安全指南强调围绕存储系统建立访问控制、数据保护、隔离、日志和持续监测。落到小型外贸网站，不等于堆叠昂贵设备，而是要把“私有存储、最小权限、可追踪访问、可执行删除”当成同一条链。

页面上的文件控件也需要清楚标签

文件上传控件旁应写明允许格式、单个和总大小、是否可多选、敏感图纸如何处理以及上传失败后的解决办法。W3C 的文件输入标签示例说明，应通过明确关联的标签让辅助技术能够识别控件用途。仅在占位文字里写“Upload”既不清楚，也会在选择文件后消失。

扫描、日志和删除决定附件会不会长期失控

上传完成只是风险生命周期的开始

扫描服务可能超时或不可用。此时不要默认放行，可以把文件维持在“处理中”状态，并向客户说明文字询价已经收到、附件仍待校验。安全团队还需要确定：扫描失败由谁处理、误报怎样复核、哪些角色可以解除隔离、解除操作如何记录。

访问日志至少记录事件时间、内部附件 ID、询价 ID、操作者、动作、结果和必要的请求标识。日志不应写入完整文件路径、临时下载令牌、客户留言全文或文件内容。保留策略则要回答：未完成草稿多久清理、有效询价附件保存多久、客户要求删除时如何处理、备份中的副本何时到期、删除是否有可核对结果。

上线前用十项清单验收

• 允许扩展名与业务用途一一对应，拒绝危险类型和双重扩展名。
• 客户端与服务端都有大小限制，服务端结果为准。
• 检查文件签名；浏览器上报的 MIME 类型仅作参考。
• 存储名由系统生成，原始文件名不参与路径。
• 文件在 Web 根目录之外或私有对象存储中，默认无公共读取权限。
• 每次预览、下载、替换和删除都校验所属询价及当前角色。
• 扫描未完成时文件不可供普通业务人员下载。
• 下载响应设置安全文件名与合适的内容处置方式。
• 日志可追踪访问与删除，又不记录敏感正文和令牌。
• 保留期限、异常清理、备份到期和客户删除请求均有负责人。

NeoGress 当前的外贸网站建设说明把询盘路径列为网站结构的一部分，但附件上传、扫描、权限链、存储位置和保留策略属于具体项目能力。上线前必须按账户与项目逐项验证，不能从公开页面推断所有方案都已自动具备这些控制。

常见问题

把附件放在随机 URL 下，算不算私有？

不算。随机 URL 只是降低猜测概率，一旦被转发、记录进日志或泄露，就可能长期可访问。私有附件需要在每次读取时验证身份、询价归属和权限，临时链接还要有短有效期与撤销机制。

只允许 PDF 是否就安全？

不是。扩展名可以伪造，PDF 本身也可能包含恶意内容。仍需服务端检查、大小限制、病毒扫描、隔离存储和授权读取；高敏感场景可评估内容净化或只接收受控导出件。

客户一定要登录才能上传图纸吗？

不一定。可以使用与询价草稿绑定的短期上传会话，但需要限制速率、体积和类型，并确保这个会话只能访问自己上传的附件。提交后的补充访问应使用已验证渠道和有限期限。

可以把客户附件直接转发给工程师吗？

不建议把原件作为普通邮件附件传播。更稳妥的方式是发送不含敏感内容的通知，让获得授权的工程师登录系统查看；这样权限撤销、访问日志和到期删除才可执行。

附件应该保存多久？

没有通用天数。应结合报价周期、合同义务、客户约定、适用法规和内部争议处理需求设定，并区分未提交草稿、无效询价、有效项目和已成交项目。期限到后应执行可核对的删除，而不是只隐藏页面。

下一步：画出一份附件数据流

从一个真实图纸场景开始

选一种团队确实会收到的文件，画出它从客户设备到上传接口、隔离区、扫描器、私有存储、销售查看、工程师下载和到期删除的完整路径。在每个箭头旁写清身份、权限、状态和日志。若任何一步只能回答“拿到链接就能看”，先不要上线附件功能；提供受控替代渠道，并由安全与业务负责人共同验收。