容量上限用位元組寫清楚
OWASP 建議多重上載核對，單靠副檔名或宣告 Content-Type 不足夠。以下本地假設只收不超過 2,000,000 位元組的 PDF，並要檢查內容；數字不是供應商上限。
| 檔案 | 觀察 | 處理決定 |
|---|---|---|
| A.pdf | 1,500,000 位元組，已確認 PDF 內容 | 可繼續其他保安檢查 |
| B.pdf | 2,100,000 位元組 | 按例子上限拒絕 |
| C.pdf | 宣告 PDF，實際內容不支援 | 拒絕類型不符 |
檢查通過與轉送成功分開記
記檔案編號、大小、確認類型及檢查結果。雜湊可發現內容被改，不能證明檔案安全。過大或不准類型不應不停重送，應按已記載方法更正。
可執行檔改名 .pdf，又標 application/pdf，兩個標籤一致便可接收嗎？
查看參考答案
不可以。須核對實際內容及保安規則。自行宣告的標籤一致，不能代替伺服器驗證及檢查。