Все живы

Хай

Тут есть активность я вижу кккая-никакая. Кто может подсказать, я использую данный модуль ?

Парав вопросов по нему

Я вывожу файлы которые через этот модуль аплоднуты модеру, я вот смотрю щас сурс код этой штуки и не вижу нигде фильтрацию имени

Вот например я залил некий текстовик

в базе появилась такая запись

"_id" : "C8wqcWTMynozxr4B9",
 "size" : 1420,
 "type" : "text/plain",
 "name" : "user_data.txt",
 "meta" : {
 },
 "ext" : "txt",
 "extension" : "txt",
 "extensionWithDot" : ".txt",
 "mime" : "text/plain",
 "mime-type" : "text/plain",
 "userId" : null,
 "path" : "/tmp/files/C8wqcWTMynozxr4B9.txt",
 "versions" : {
   "original" : {
     "path" : "/tmp/files/C8wqcWTMynozxr4B9.txt",
     "size" : 14140,
     "type" : "text/plain",
     "extension" : "txt"
   }
 },
 "_downloadRoute" : "/cdn/storage",
 "_collectionName" : "FileStorage",
 "isVideo" : false,
 "isAudio" : false,
 "isImage" : false,
 "isText" : true,
 "isJSON" : false,
 "isPDF" : false,
 "_storagePath" : "/tmp/files",
 "public" : false

я вывожу на клиенте ext , name поля

не может ли быть такого что мне зафигачат в name <script>alert('123')</script> ?

Отличный вопрос! Походу есть такая возможность

С другой стороны это будет не опасно к примеру в таком случае

<React.Fragment>{file.name}</React.Fragment>

И опасно только так:

<div dangerouslySetInnerHTML={__html: file.name}></div>

зашибись..

Поставь проверку имени в onBeforeUpload

а onbeforeupload на серваке вызывается после добавления в бд записи или до?

я смотрю там уже есть name, extension

если я на серваке в onbeforeupload почищу теги в нейм и присвоую аргументу коллбека это апдейтнется же в дб?

типа так:
file.name = clearFileName(file.name)

то ничего не сохранится
надо типа так
FilesCollection.update {_id: file._id}, {
 $set:
   name: newName
}

щас проверил

сохраняется таки