Node.js文件上传集成ClamAV扫描：pompelmi库落盘前检测恶意文件
文件上传是Web应用常见的安全攻击面，用户上传的文件可能包含恶意软件、ZIP炸弹或伪造MIME类型。大多数Node.js项目仅做文件扩展名检查，远远不够。pompelmi是一个Node.js库，它能在文件落盘之前完成ClamAV扫描，返回类型化的verdict symbol，不依赖第三方运行时。工作原理
pompelmi通过Node.js内置的child_process调用clamscan，直接读取退出码并将其映射为Symbol类型的结果。没有stdout解析，没有正则匹配，没有隐式状态，干净利落。
安装依赖
首先安装Node.js库：
npm install pompelmi
然后在操作系统上安装ClamAV：
- macOS:
brew install clamav && freshclam
- Debian/Ubuntu:
sudo apt-get install -y clamav clamav-daemon && sudo freshclam
- Windows:
choco install clamav -y
基本用法
导入模块并扫描文件：
const { scan, Verdict } = require('pompelmi');
const result = await scan('/path/to/file.zip');
switch (result) {
case Verdict.Clean:
// 文件安全，继续处理
break;
case Verdict.Malicious:
throw new Error('检测到恶意软件，文件已拒绝');
case Verdict.ScanError:
// 扫描未完成，按不可信文件处理
console.warn('扫描失败，拒绝文件');
break;
}
返回值映射关系：
- Verdict.Clean：ClamAV退出码0，未发现威胁
- Verdict.Malicious：退出码1，匹配到已知病毒签名
- Verdict.ScanError：退出码2，扫描本身失败，文件状态未知
在Express中集成
使用multer处理文件上传，在保存前调用pompelmi扫描：
const express = require('express');
const multer = require('multer');
const { scan, Verdict } = require('pompelmi');
const path = require('path');
const fs = require('fs');
const app = express();
const upload = multer({ dest: 'tmp/' });
app.post('/upload', upload.single('file'), async (req, res) => {
const filePath = path.resolve(req.file.path);
try {
const result = await scan(filePath);
if (result === Verdict.Malicious) {
fs.unlinkSync(filePath);
return res.status(422).json({ error: '文件包含恶意软件' });
}
if (result === Verdict.ScanError) {
fs.unlinkSync(filePath);
return res.status(422).json({ error: '扫描失败，文件已拒绝' });
}
// Verdict.Clean — 继续保存文件
return res.status(200).json({ verdict: 'clean' });
} catch (err) {
fs.unlinkSync(filePath);
return res.status(500).json({ error: err.message });
}
});
扫描失败或检测到恶意文件时，立即删除临时文件并返回422状态码。
远程扫描（Docker环境）
当ClamAV运行在容器中时，通过TCP socket连接：
const result = await scan('/path/to/file.zip', {
host: '127.0.0.1',
port: 3310,
});
API保持不变，verdict类型不变，无缝切换。
错误处理
scan函数可能抛出以下异常：
- filePath不是字符串 → 'filePath must be a string'
- 文件不存在 → 'File not found: <path>'
- clamscan不在PATH中 → ENOENT
- 未知退出码 → 'Unexpected exit code: N'
建议在try/catch中处理：
try {
const result = await scan(path.resolve(filePath));
return result;
} catch (err) {
console.error('扫描异常:', err.message);
return null;
}
特性总结
- 零运行时依赖，仅使用Node.js内置child_process
- 不解析stdout，直接读取退出码，性能可靠
- 支持TypeScript，verdict为Symbol类型，防止拼写错误
- 支持本地clamscan和远程clamd TCP socket
- 跨平台：macOS、Linux、Windows
通过pompelmi库，开发者可以用最少的代码在文件上传流程中集成ClamAV病毒扫描，提升应用安全性，避免用户上传恶意文件造成危害。
Re: Node.js文件上传集成ClamAV扫描：pompelmi库落盘前检测恶意文件
这个方案很实用，特别是“落盘前扫描”的思路，比事后扫描安全不少。pompelmi 直接读退出码不解析 stdout，确实干净，避免了正则解析带来的各种坑。 有个实际场景想请教一下：当并发上传请求较多时，每次调用 `child_process` 执行 `clamscan`，会不会有性能瓶颈？比如频繁 fork 进程导致 CPU 飙升，或者有没有内置的连接池机制来复用远程 clamd 的 TCP 连接？ 另外，`freshclam` 的更新策略通常怎么配合比较合理？如果用户上传文件时候病毒库还是旧的，可能会漏报。建议在文档里加一段定时更新数据库的示例，或者检查 `clamscan --version` 的数据库日期。Re: Node.js文件上传集成ClamAV扫描：pompelmi库落盘前检测恶意文件
感谢楼主分享这个实用的库！之前也在Node项目里集成过ClamAV，但用的是通过`child_process`直接调`clamscan`再解析stdout的方式，确实不够优雅。`pompelmi`这种直接映射退出码的思路很干净，Symbol类型也避免了字符串拼写错误的问题。 有个小疑问想请教：对于超大文件（比如几百MB的ZIP），扫描过程中会不会因为`clamscan`执行时间过长而影响Node事件循环？`scan`函数内部有没有做超时处理，还是完全依赖ClamAV自身的超时设置？另外，在Express示例里文件是先写成临时文件再扫描的，如果遇到恶意文件，落盘后再删除虽然安全上没问题，但总觉得有点别扭——有没有办法在写入磁盘**之前**就拿到字节流去扫？还是说`pompelmi`设计上就是需要物理路径，所以必须落盘？ 再次感谢分享，已经在考虑把它用到新项目里了。Re: Node.js文件上传集成ClamAV扫描：pompelmi库落盘前检测恶意文件
感谢分享！pompelmi 的设计思路很干净——直接读退出码而非解析 stdout，减少了很多潜在的错误源。我比较好奇它在扫描大文件（比如几百MB的ZIP）时的性能表现，以及是否支持配置 ClamAV 的超时时间？另外，如果在 Docker 环境里同时运行 Node 和 ClamAV 容器，`host: 127.0.0.1` 在容器间可能不通，用 Docker 网络名或者 `host.docker.internal` 会更好？
页:
[1]