GridFS本身不提供防盗链或鉴权能力，必须在应用层拦截请求、校验Referer/Token/用户身份后才代理流式响应；直接暴露openDownloadStreamById()会裸露fs.chunks集合，导致任意ID可无限下载，且易被CDN缓存绕过鉴权。
GridFS 本身不提供防盗链或鉴权能力，必须在应用层拦截请求、校验 Referer / Token / 用户身份，并控制是否代理流式响应文件内容。
为什么直接暴露 openDownloadStreamById() 是高危操作
常见错误是把 GridFS 文件 ID 或 filename 直接拼进公开 URL（如 /files/65a1b2c3d4e5f67890abcdef），然后在路由里无条件调用 bucket.openDownloadStreamById(id) 并 pipe 给 response。这等于把整个 fs.chunks 集合裸奔在公网——攻击者只要知道任意一个 ID，就能无限下载；更糟的是，若未禁用浏览器缓存，CDN 还可能缓存原始文件并绕过后续鉴权。
关键风险点：
-
fs.chunks集合不可加索引、无法嵌入权限字段，一旦开放 read 权限，攻击者可用db.fs.chunks.find()扫出全部块并拼回任意文件 - 不校验 Referer 或来源域名时，第三方网站可直接
- 跳过
files文档查询就开流，意味着完全绕过了 metadata 中的access_control字段校验
实现 Referer 防盗链 + Token 鉴权的最小可行路径
核心思路：所有文件访问必须走统一中间件，先做「来源可信性检查」+「Token 时效与签名验证」+「文件级权限查询」，三者全通过才允许调用 bucket.openDownloadStreamById()。
实操要点：
- URL 设计为
/files/:id?token=xxx&exp=1734682440，其中token是 HMAC-SHA256(id+exp+GRIDFS_TOKEN_KEY) 的 hex 值，exp是 Unix 时间戳 - 中间件中先校验
req.headers.referer是否匹配白名单域名（注意处理空 Referer 和协议差异），再解析并验证token和exp，最后查fs.files文档确认该文件存在且metadata.access_control允许当前用户 - 响应头必须显式设置：
Cache-Control: no-store, must-revalidate、Pragma: no-cache、Vary: Origin，防止 CDN 或浏览器缓存原始响应 - 不要用
filename做路由参数——它不唯一且易被路径遍历利用；坚持用_id或业务生成的短 ID（如 Base64 编码后的fileId）
RBAC 行级过滤如何堵住直连绕过漏洞
即使你应用层写了完整鉴权逻辑，攻击者仍可能绕过 Web 层，用 mongosh 或驱动直连数据库扫 fs.files。这时 MongoDB 的 RBAC 行级过滤就是最后一道防线。
正确配置示例（MongoDB 4.4+）：
db.createRole({
role: "gridfs_files_reader",
privileges: [{
resource: { db: "mydb", collection: "fs.files" },
actions: ["find"],
privilegeDocument: {
"metadata.access_control.user_ids": { "$in": ["$$USER_ID"] }
}
}],
roles: []
})
注意：
- 绝不能给
fs.chunks授权任何 action，该集合权限必须为 0 -
$$USER_ID是 MongoDB 内置变量，需配合认证时传入的authenticationRestrictions或 session context 使用；Spring Boot 用户需确保MongoClient使用带authMechanismProperties的凭据 - 应用层自己查
fs.files时，查询条件必须和privilegeDocument结构一致，否则行级过滤不生效（例如不能写{ "metadata.access_control.user_ids": userId }，而要写{ "metadata.access_control.user_ids": { "$in": [userId] } }）
Node.js 中流式响应时容易忽略的内存与超时陷阱
调用 bucket.openDownloadStreamById(id) 后，若直接 pipe 给 res，看似简单，但实际有隐性风险：
- 默认
readPreference可能打到 secondary 节点，导致读取延迟或 stale 数据；应显式设为{ readPreference: 'primary' } - 大文件流式传输过程中，客户端断连（如刷新页面）不会自动中断 stream，MongoDB 连接会持续占用直到超时；需监听
res.close事件并手动stream.destroy() - 未设置
res.setTimeout(300000)（5 分钟）可能导致长连接卡死，尤其在慢网或移动设备下 - 若文件元数据中存了
content-type，务必透传到res.setHeader('Content-Type', ...)，否则浏览器可能触发下载而非内联显示
真正安全的流式响应，不是“打开就 pipe”，而是“可控、可中断、可审计”的代理过程——每一个环节都得有 fallback 和可观测性，否则所谓防盗链只是纸糊的墙。
