文件上传安全

PDF 文档解析安全加固完整方案：上传三重校验（扩展名/MIME/魔数）、ImageMagick 高危 coder 禁用、Ghostscript SAFER 强制参数、systemd 沙箱与资源上限，附验证命令。

解压炸弹防御完整配置：Nginx 与 PHP 上传体积限制、压缩率预检脚本、tmpfs 与 cgroup 资源限制、inode 配额与磁盘告警。附 10GB 炸弹文件回归验证方法。

先查后写导致超卖与重复领券。本文给出 O_EXCL 原子落盘、ZIP 条目白名单校验、内核 protected_symlinks、原子 UPDATE 与唯一索引、Redis 分布式锁及幂等键的完整修复与并发验证方案。