API'lerde güvenli file upload işlemi için dosya tipi, boyutu ve virus taraması kontrollerimi nasıl eklerim?

const multer = require('multer');
const path = require('path');

// 1. İzin verilen dosya türlerini tanımla
const allowedMimeTypes = ['image/jpeg', 'image/png', 'image/gif', 'application/pdf'];
// 2. MIME type'a göre izin verilen uzantıları eşleştir (çift kontrol için)
const allowedExtensions = {
    'image/jpeg': '.jpg',
    'image/png': '.png',
    'image/gif': '.gif',
    'application/pdf': '.pdf'
};

const upload = multer({
    storage: multer.memoryStorage(), // Dosyayı önce belleğe al, tarama yapacağız.
    limits: {
        fileSize: 5  1024  1024, // Maksimum 5MB
    },
    fileFilter: (req, file, cb) => {
        // MIME Type kontrolü
        if (!allowedMimeTypes.includes(file.mimetype)) {
            return cb(new Error('Sadece JPG, PNG, GIF veya PDF dosyaları yükleyebilirsiniz.'), false);
        }

        // Uzantı kontrolü (MIME spoofing'e karşı)
        const fileExt = path.extname(file.originalname).toLowerCase();
        const expectedExt = allowedExtensions[file.mimetype];

        if (fileExt !== expectedExt) {
            return cb(new Error(`Dosya uzantısı (${fileExt}) beklenen uzantı (${expectedExt}) ile uyuşmuyor.`), false);
        }

        // Magic Number kontrolü (gerçek dosya tipini ilk birkaç byte'dan kontrol et)
        // Bu kısım için ayrı bir fonksiyon yazılabilir, örnek olarak koydum.
        cb(null, true);
    }
});

// Router'da kullanımı
app.post('/upload', upload.single('file'), (req, res) => {
    // Buraya geldiyse, Multer temel kontrolleri geçti demektir.
    res.json({ message: 'Dosya başarıyla alındı. İşleme devam ediliyor...' });
});

const { promisify } = require('util');
const clamscan = require('clamscan')({
    remove_infected: false, // Dosyayı otomatik silme, logla ve kullanıcıya hata dön.
    quarantine_infected: false,
    scan_log: '/var/log/clamav/scan.log',
    debug_mode: false,
    file_list: [], // Bellekteki buffer'ı tarayacağız.
    scan_recursively: false,
    clamscan: {
        path: '/usr/bin/clamscan', // Sunucudaki ClamAV binary yolu
        db: null, // Varsayılan veritabanı
        scan_archives: true,
        active: true
    }
}).get_instance();
const clamScanPromise = promisify(clamscan.scan_buffer);

async function scanFileForViruses(fileBuffer, fileName) {
    try {
        const { is_infected, viruses } = await clamScanPromise(fileBuffer, fileName);
        if (is_infected) {
            console.error(`[VIRUS TARAMA HATASI] ${fileName} dosyasında virüs tespit edildi: ${viruses}`);
            throw new Error(`Dosya güvenlik taramasından geçemedi. Lütfen temiz bir dosya yükleyin.`);
        }
        console.log(`[GÜVENLİ] ${fileName} dosyası temiz.`);
        return true;
    } catch (error) {
        console.error('[ClamAV Tarama Hatası]', error);
        // ClamAV çalışmıyorsa, dosyayı kabul ETME! Güvenlik önceliklidir.
        throw new Error('Dosya güvenlik kontrolü şu an yapılamıyor. Lütfen daha sonra tekrar deneyin.');
    }
}

// Upload route'ını güncelleme
app.post('/upload', upload.single('file'), async (req, res, next) => {
    try {
        if (!req.file) {
            return res.status(400).json({ error: 'Dosya yüklenmedi.' });
        }

        // 1. Multer kontrollerinden geçti.
        // 2. Şimdi virüs taraması yapalım.
        await scanFileForViruses(req.file.buffer, req.file.originalname);

        // 3. Eğer buraya geldiyse, dosya temiz. Artık kalıcı depolamaya yazabiliriz (S3, lokal disk vs.).
        // const fileUrl = await saveFileToStorage(req.file.buffer, req.file.originalname);
        // ... kayıt işlemleri ...

        res.json({ message: 'Dosya güvenli bir şekilde yüklendi ve taranmıştır.', url: fileUrl });
    } catch (error) {
        next(error); // Hataları merkezi error handler'a gönder
    }
});

const crypto = require('crypto');
const fs = require('fs').promises;
const path = require('path');

async function saveFileToStorage(fileBuffer, originalName) {
    // 1. Güvenli, rastgele dosya ismi oluştur.
    const fileExt = path.extname(originalName); // .jpg, .png
    const randomName = crypto.randomBytes(16).toString('hex') + fileExt;

    // 2. Kaydedilecek güvenli yol (public klasörü dışında bir yerde tutun, sonra serve edin).
    const uploadDir = path.join(__dirname, '..', 'private-uploads');
    const filePath = path.join(uploadDir, randomName);

    // 3. Klasör yoksa oluştur.
    await fs.mkdir(uploadDir, { recursive: true });

    // 4. Buffer'ı dosyaya yaz.
    await fs.writeFile(filePath, fileBuffer);

    // 5. Erişim için bir URL döndür (örneğin, bir static file servisi üzerinden).