AionClaw默认不启用本地文件上传校验机制；需手动将settings.json中"file_upload.enable_validation"设为true，并配置max_size_mb、allowed_extensions和block_hidden_files三项参数，否则任何技能均可读取任意路径文件。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
确认AionClaw是否启用本地文件上传校验机制
默认安装的AionClaw不开启文件上传接口的主动校验，所有传入文件由技能插件自行判断合法性，这是为保障低配设备运行效率做的取舍。如果你需要统一拦截恶意文件、重复上传或超限内容，必须手动启用校验层。
这一步不能跳过——【未启用校验时，任何技能都可直接读取上传的任意路径文件，包括系统配置目录】。
在settings.json中启用并配置文件校验参数
打开AionClaw安装目录下的config/settings.json文件（Windows在%APPDATA%\AionClaw\config\，macOS在~/Library/Application Support/AionClaw/config/）。
找到"file_upload"对象区块，将"enable_validation"字段值从false改为true。
在同个对象内添加以下三项校验配置：
"max_size_mb": 50 → 单文件上限设为50MB，超过则直接拒绝HTTP请求，不写临时磁盘；
"allowed_extensions": ["txt", "csv", "xlsx", "pdf", "md", "jpg", "png"] → 只放行这7种扩展名，其余一律返回415错误；
"block_hidden_files": true → 拦截以点号开头的文件（如.env、.gitignore），防止敏感配置被拖入。
验证校验是否生效的三步测试法
第一步：用curl发一个超限文件请求，确认返回413状态码
curl -X POST http://localhost:8080/api/v1/upload -F "file=@large.zip" -H "Authorization: Bearer your-token"
第二步：上传一个.htaccess文件，检查响应是否为415 Unsupported Media Type
第三步：上传一个合法report.xlsx，观察logs/upload.log中是否记录VALIDATED_OK标记——只有校验通过才会写入该日志行。
