必须在应用层拦截所有GridFS下载请求，MongoDB本身不校验身份，直接暴露fs.files或fs.chunks集合等于裸奔；下载接口必须强制鉴权+租户隔离，每个请求须携带JWT解析出userId和tenantId，查文件前校验权限，动态构造GridFSBucket实例，禁用filename查询，严防metadata注入与ID泄露，并管控流生命周期。
必须在应用层拦截所有 GridFS 下载请求，MongoDB 本身不校验身份，直接暴露 fs.files 或 fs.chunks 集合等于裸奔。
下载接口必须强制鉴权 + 租户隔离
GridFS 没有内置权限模型，bucket.openDownloadStream() 一旦拿到合法 _id，任何人都能读。你不能靠“隐藏文件 ID”或“不公开 URL”来防御——攻击者只要拿到一个有效 ID（比如从日志、前端 JS、缓存中泄露），就能直连下载。
- 每个下载请求必须携带有效 JWT 或 session，并解析出
userId和tenantId - 查文件前先校验该用户是否有权访问该文件：用
bucket.find({ _id: fileId, "metadata.userId": userId })，而非只查_id - 若使用多租户独立 bucket（如
tenant_acme_files），必须动态构造GridFSBucket实例，且 bucketName 必须来自可信上下文（如 JWT 中的tenantId），不能由客户端传入 - 禁止用
filename查询下载——downloadToStreamByName()默认取最新 revision，且同名文件可能返回任意一个，无法绑定权限
避免元数据被绕过或伪造
metadata 字段是权限控制的关键载体，但它可被客户端写入，必须防注入、防越权、防覆盖。
- 上传时强制注入
userId、tenantId等字段，禁止前端传入这些键；业务层生成，不可覆盖 - 对
metadata做深度校验：嵌套层级 ≤ 3，键名禁止含$、.、\0，值长度限制（如userId≤ 64 字符） - 下载时不要信任
file.metadata的任意字段做判断，只信你明确写入并索引过的字段（如"metadata.ownerId"），且该字段必须建唯一复合索引：db.fs.files.createIndex({ "metadata.ownerId": 1, "_id": 1 }) - 别用
metadata存敏感策略（如"isPublic": true），这类逻辑应走独立权限服务，避免数据与策略耦合
防止 ID 泄露和暴力枚举
UUID 或 ObjectId 类型的 _id 看似难猜，但在高并发或批量操作场景下极易被撞库或日志泄露。
- 禁止在前端 URL、错误响应、HTTP headers、日志中明文打印原始
_id；下载路由建议用短哈希（如HMAC-SHA256(fileId + secret).substr(0,8)）做映射，后端再反查 - 对
/download/:token接口加秒级限流（如 RedisINCR user:123:dl:20260721+EXPIRE），单用户每分钟最多 10 次，防扫描 - 记录所有下载行为到审计日志（含
userId、fileId、ip、timestamp），不落盘到 MongoDB，走专用日志系统（如 Loki） - 对高频访问文件（如头像、封面图）加 CDN 缓存，但缓存 key 必须绑定用户身份（如
avatar:{userId}:v2），避免缓存污染导致越权
连接池与流生命周期必须可控
未销毁的下载流会持续占用数据库连接和内存，攻击者可故意中断连接制造资源堆积，最终拖垮服务。
- 每个
openDownloadStream()必须配对req.on('close', () => stream.destroy())和stream.on('error', () => stream.destroy()) - Nginx 或 ALB 上调大
proxy_read_timeout（建议 ≥ 300s），否则大文件下载中途被代理断开，Node.js 不会自动 cleanup 流 - 驱动连接池需设
maxPoolSize（如 50），并监控inUseConnectionsCount指标，突增即告警 - 别复用全局
GridFSBucket实例——它内部缓存了 collection 引用，若租户切换不干净，可能用错 bucketName 导致跨租户读取
最难的不是写鉴权逻辑，而是确保每次下载都走同一套校验路径：从 token 解析 → 租户隔离 → 元数据查询 → 流创建 → 错误捕获 → 资源释放，中间任何一环漏掉（比如忘了 stream.destroy()），就可能成为越权入口。
