使用JAVA如何对图片进行格式检查以及安全检查处理

本文出自冯立彬的博客，原地址：http://www.fenglibin.com/use_java_to_check_images_type_and_security.html

一、通常情况下，验证一个文件是否图片，可以通过以下三种方式：

1)、判断文件的扩展名是否是要求的图片扩展名

这种判断是用得比较多的一种方式，不过这种方式非常的不妥，别人稍微的把一个不是图片的文件的扩展名修改为图片的扩展名，就绕开了你的这种校验，如果这上传的文件是shell、php或者jsp，那你的网站基本上可以说就在别人的手里面了。

不过这种判断方式也不是完全没有用，我们可以把它放在判断图片的最外层，如果一个文件连扩展名都不是我们所要求的图片扩展名，那就根本不用后面的内容格式检查了，从一定程度上说，对减少服务器的压力还是有一定的帮助，否则所有的文件都等上传完后成后再通过服务器去判断，那会在一定程度上浪费器资源的。

2）、根据文件的前面几个字节，即常说的魔术数字进行判断，不同文件类型的开头几个字节，可以查看我的另外一篇专站介绍：表示不同文件类型的魔术数字。

但是这种判断方式也是非常不靠谱的，因为他只能够验证文件的前面几个字节，如此时有人把一个可执行的PHP文件的扩展名修改为PNG,然后再在前面补上”89 50″两个字节，就又绕开了这种验证方式。

以下是一段通过JAVA代码获取文件前面两个字节的示例程序：

import java.io.File;
import java.io.FileInputStream;
import java.io.IOException;
import java.io.InputStream;

public class ImageTypeCheck {

public static String bytesToHexString(byte[] src) {
StringBuilder stringBuilder = new StringBuilder();
if (src == null || src.length <= 0) {
return null;
}
for (int i = 0; i < src.length; i++) {
int v = src[i] & 0xFF;
String hv = Integer.toHexString(v);
if (hv.length() < 2) {
stringBuilder.append(0);
}
stringBuilder.append(hv);
}
return stringBuilder.toString();
}
public static void main(String[] args) throws IOException {
String imagePath = "c:/favicon.png";
File image = new File(imagePath);
InputStream is = new FileInputStream(image);
byte[] bt = new byte[2];
is.read(bt);
System.out.println(bytesToHexString(bt));
}
}

不过这种判断方式和判断扩展名一样，也不是完全没有用，至少可以在前期在简单的检查，为进入下一步检查做铺垫。

3）、获取图片的宽高属性

如果能够正常的获取到一张图片的宽高属性，那肯定这是一张图片，因为非图片文件我们是获取不到它的宽高属性的，以下是用于获取根据是否可以获取到图片宽高属性来判断这是否一张图片的JAVA代码：

/**
* 通过读取文件并获取其width及height的方式，来判断判断当前文件是否图片，这是一种非常简单的方式。
*
* @param imageFile
* @return
*/
public static boolean isImage(File imageFile) {
if (!imageFile.exists()) {
return false;
}
Image img = null;
try {
img = ImageIO.read(imageFile);
if (img == null || img.getWidth(null) <= 0 || img.getHeight(null) <= 0) {
return false;
}
return true;
} catch (Exception e) {
return false;
} finally {
img = null;
}
}

二、图片文件的安全检查处理

好了，我们终于判断出一个文件是否图片了，可是如果是在一个可以正常浏览的图片文件中加入一些非法的代码呢：



这就是在一张正常的图片末尾增加的一些iframe代码，我曾经尝试过单独打开这张图片，也将这张图片放于网页上打开，虽然这样都不会被执行，但并不代表插入其它的代码也并不会执行，杀毒软件（如AVAST）对这种修改是会报为病毒的。

那我们要如何预防这种东西，即可以正常打开，又具有正确的图片文件扩展名，还可以获取到它的宽高属性？呵，我们这个时候可以对这个图片进地重写，给它增加水印或者对它进行resize操作，这样新生成的图片就不会再包含这样的恶意代码了，以下是一个增加水印的JAVA实现：

/**
* 添加图片水印
*
* @param srcImg 目标图片路径，如：C:\\kutuku.jpg
* @param waterImg 水印图片路径，如：C:\\kutuku.png
* @param x 水印图片距离目标图片左侧的偏移量，如果x<0, 则在正中间
* @param y 水印图片距离目标图片上侧的偏移量，如果y<0, 则在正中间
* @param alpha 透明度(0.0 -- 1.0, 0.0为完全透明，1.0为完全不透明)
* @throws IOException
*/
public final static void addWaterMark(String srcImg, String waterImg, int x, int y, float alpha) throws IOException {
// 加载目标图片
File file = new File(srcImg);
String ext = srcImg.substring(srcImg.lastIndexOf(".") + 1);
Image image = ImageIO.read(file);
int width = image.getWidth(null);
int height = image.getHeight(null);

// 将目标图片加载到内存。
BufferedImage bufferedImage = new BufferedImage(width, height, BufferedImage.TYPE_INT_RGB);
Graphics2D g = bufferedImage.createGraphics();
g.drawImage(image, 0, 0, width, height, null);

// 加载水印图片。
Image waterImage = ImageIO.read(new File(waterImg));
int width_1 = waterImage.getWidth(null);
int height_1 = waterImage.getHeight(null);
// 设置水印图片的透明度。
g.setComposite(AlphaComposite.getInstance(AlphaComposite.SRC_ATOP, alpha));

// 设置水印图片的位置。
int widthDiff = width - width_1;
int heightDiff = height - height_1;
if (x < 0) {
x = widthDiff / 2;
} else if (x > widthDiff) {
x = widthDiff;
}
if (y < 0) {
y = heightDiff / 2;
} else if (y > heightDiff) {
y = heightDiff;
}

// 将水印图片“画”在原有的图片的制定位置。
g.drawImage(waterImage, x, y, width_1, height_1, null);
// 关闭画笔。
g.dispose();

// 保存目标图片。
ImageIO.write(bufferedImage, ext, file);
}

通过以上几种方式，应该可以避免绝大部份图片中带恶意代码的安全问题，不过由于我个人的才疏学浅，可能有没有考虑周全的地方，还请各位不吝指教了。