Receba Arquivos sem Expor Informações dos Clientes

Um botão para enviar arquivos permite que clientes coloquem fotos ou documentos no seu aplicativo. Isso pode ser útil para fotos de perfil, comprovantes, documentos de identificação ou pedidos de ajuda. Também permite que alguém tente enviar algo que o aplicativo não foi preparado para tratar. Comece com uma lista curta do que a função realmente precisa. Um campo de comprovante pode aceitar JPG, PNG e PDF, enquanto uma foto de perfil talvez precise apenas de imagens JPG e PNG.

Não confie somente nas letras que aparecem no fim do nome. Uma pessoa pode trocar item.exe por comprovante.pdf sem alterar o conteúdo. O aplicativo deve examinar o tipo informado e o conteúdo real antes de salvar. O nome técnico é validação do tipo de arquivo. Para imagens, peça a confirmação de que o arquivo pode mesmo ser lido como imagem. Para um PDF, peça a conferência da estrutura esperada desse documento. Recuse diferenças e explique as opções aceitas em linguagem comum.

Uma foto de celular, um documento escaneado ou um vídeo pode ser muito maior do que parece na tela. Sem um tamanho máximo, uma escolha acidental ou várias tentativas podem consumir espaço, aumentar a espera e elevar sua conta. Escolha o menor tamanho que funcione com exemplos reais. Uma foto de perfil costuma precisar de bem menos espaço que um documento com várias páginas. Defina um limite separado para cada finalidade, em vez de permitir um número muito alto em todos os campos.

Mostre o tamanho máximo perto do botão para que a pessoa conheça a regra antes de escolher. Repita a conferência no serviço de computador que recebe e salva o arquivo; o nome técnico é validação de tamanho no servidor. Essa segunda verificação importa porque alguém pode contornar uma regra aplicada somente na página. Recuse o arquivo antes de salvá-lo de forma permanente, apague qualquer cópia incompleta e mostre uma orientação útil, como “Este arquivo passa de 10 MB. Escolha um PDF menor.” Teste valores logo abaixo e acima do limite.

Seu aplicativo tem uma área com páginas, logotipos e outros itens que qualquer visitante pode receber. Os arquivos enviados por clientes não devem ficar ali. Guarde-os em um local separado que não permita consulta pública. O nome técnico desse local é armazenamento privado. Uma pessoa só deve receber um arquivo depois que o aplicativo confirmar que ela pode vê-lo. Esconder uma lista visível não basta quando alguém ainda consegue adivinhar um endereço e abrir o documento diretamente.

Crie um nome salvo novo e imprevisível para cada arquivo, em vez de confiar no nome original. Duas pessoas podem enviar comprovante.pdf, e um arquivo nunca deve substituir o outro. O nome original também pode revelar informações do cliente em registros ou endereços. Guarde-o somente quando a pessoa precisar vê-lo e mostre-o como texto comum, não como instrução que o aplicativo possa executar. Senhas, chaves de pagamento e códigos de acesso nunca devem aparecer em arquivos para baixar ou em endereços de arquivos. Registre qual conta é dona de cada item salvo.

Imagine que Ana e Bruno estejam usando o aplicativo com suas contas abertas. Ana não pode ver, baixar, trocar ou apagar o comprovante de Bruno apenas mudando um número no endereço da página. Em toda ação, o aplicativo deve comparar a conta atual com o dono registrado para aquele arquivo. Se integrantes da equipe precisarem acessar documentos, permita somente para funções de trabalho claramente definidas. O nome técnico da decisão sobre o que uma pessoa pode fazer é autorização.

Faça essa decisão no serviço de computador que atende ao pedido, e não apenas escondendo botões na página. Um botão escondido diminui a confusão, mas não prova que a pessoa pode abrir o arquivo. Para documentos delicados, evite endereços permanentes que continuem funcionando depois de copiados. O nome técnico de um endereço com duração curta é URL assinada. Crie esse endereço somente depois da conferência do dono, faça-o vencer rapidamente e não coloque nele informações do cliente. Teste cada ação com duas contas comuns, além da conta da equipe.

Mantenha um teste curto e repetível: envie um arquivo permitido, um recusado, um renomeado, um grande demais e dois arquivos com o mesmo nome. Depois, use uma segunda conta de cliente para tentar ver, baixar, trocar e apagar o arquivo da primeira. Copie o endereço do arquivo para uma janela privativa do navegador, que representa uma visita nova sem a conta anterior aberta, e confirme que o documento não aparece. Anote o resultado e apague os arquivos de teste quando terminar.

Repita tudo depois de mudar um formulário, o local dos arquivos, as funções das contas ou o modo de baixar documentos. Peça à ferramenta de IA para explicar em linguagem comum onde cada conferência acontece; assim, você pode notar quando uma tela nova ignora uma regra. O VibeCodeWall verifica o aplicativo público por fora e acompanha mudanças importantes ao longo do tempo; ele não precisa acessar código particular. Essa visão externa complementa seus testes com contas, mas não substitui verificações de arquivos de clientes que a parte pública não consegue ver.