请教下后端大佬，关于文件上传逻辑的实现

realpg

57 天前

肯定要通知啊。工作嫌麻烦，不如回家躺平

Kinnikuman

57 天前

@realpg 我现在就是在家躺平呢，没事干。写一下代码打发时间。

seers

57 天前

用 mq 解耦啊

xfurther01

57 天前

具体流程如下：
1 、前端调用后端文件上传认证接口：CreateFile ，获取 s3 地址和临时认证信息。
2 、前端根据 CreateFile 接口获取的 s3 信息，使用 s3 sdk 上传文件。例如（ https://aws.amazon.com/cn/developer/）
3 、前端调用后端文件上传完成通知接口：UpdateFile ，通知后端上传结果和文件名。
4 、前端调用后端 GetFile 获取文件下载地址。

shadowyue

57 天前

前端通知你和不通知你的情况你都要处理。
万一前端上传完文件刚好流量用完了呢

a949690645

57 天前

我认为不需要通知，数据库里不存关于文件的任何信息。

yyttrr

57 天前

搜一下阿里云 oss sts 上传

IvanLi127

57 天前

一般文件不是至少关联一个实体实例吗？文件传完前端不用让后端更新对应的实体字段？前面预签名是要临时权限，把业务逻辑分一部分写在那里面才叫麻烦...

xiaoming1992

57 天前

如果是自己的玩具项目，就没必要通知了，后端把上传密钥和 pathname 返回给前端，并直接把这个 pathname 存到数据库中，直接当成前端已上传成功（万一部分极端情况前端上传失败，就自己走编辑流程，重新从头上传一次呗）

neutrino

57 天前

建议后端调用文件储存接口，并处理回调。这样前端只要把文件扔给后端并等待 URL 返回就好

mumbler

57 天前

用 cursor ，把你需求说出来就行了

Kinnikuman

57 天前

@xiaoming1992 这个方法确实方便。直接把桶的策略改成所有人都可以 read

Access permission for `minio/bucket` is `download`

qwertyzzz

57 天前

@Kinnikuman 哈哈哈

spritecn

57 天前

@a949690645 不通知会有一个问题,有些文件传了根本没用过,这些文件积压下来,时间长了有几百 G,根本就找不到

spritecn

57 天前

@realpg REPS

SingeeKing

57 天前

歪个楼，要怎么解决恶意用户调用上传接口上传了一堆文件不通知后端的；加个定时任务来检查 s3 里面有没有不该存在的文件吗

guanzhangzhang

57 天前

首先是权限问题，oss 有 sts ，就相当于临时身份
前端拿 sts 直接上传 oss ，分段上传后调用 complete 请求给后端

Nitromethane

57 天前

@SingeeKing 有个思路是
用于上传的临时 bucket 设置一个过期时间，比如 1 小时，并限制单个文件大小。
调用 update 上传成功后的文件，拷贝到真正要归档的 bucket 中。

Oceanhime

57 天前

桶读权限开放的话，小心有人恶意 list 然后下载数据或者刷流量...

我接手过的项目都是把文件上传+回调的所有逻辑统一交给后端处理，前端只调用 /upload 然后显示状态即可。对于公开的项目，你不能确保前端一定不会出错，如果 callback 执行中断或者恶意被执行，往小了说可能会影响数据完整性，如果这个 callback 涉及到敏感逻辑，可能出现安全问题。

sagaxu

57 天前

不如把问题泛化一下，三方调用，客户端，后端，第三方，

1. 客户端请求后端，后端调用第三方生成凭据后返回给客户端使用。
2. 客户端拿着凭据调用第三方，完成后应当如何？

有两个通知途径，

1. 客户端通知服务端调用结果
2. 第三方回调通知服务端

第 1 种方式，实时性比较高，用户体验更好，但很容易因为客户端网络或者关闭页面，导致通知丢失。
第 2 种方式，实时性稍差，但可靠性很高，可以按照一定时间间隔多尝试几次通知。
第 3 种方式，属于 fallback 兜底，服务端周期性轮询未知状态的凭据，做相应处理。

第 2 种是必须的，实时性要求高，再加上第 1 种。

更常见的场景是微信支付宝的支付。