Безопасно ли хранить и отображать картинки в base64?

Question

[Михаил Ким]

Сейчас пишу wysiwyg редактор на основе Quill.js. В нем есть возможность добавлять картинки с компьютера, которые кодируются в base64 и вставляются в тэг img. Насколько безопасно хранить изображения в base64 в бд (postgres), а также отображать их пользователю на сайте? Немного погуглив, я узнал, что алфавит base64 ограничен, из-за чего sql инъекции и xss невозможны, это верно?

Comments

[sim3x]

Зависит от того, как будет просходить санитайзинг на бекенде

В общем случае - лучше перекодировать картинку со своим сжатием

[Ярослав Иванов]

А лучше хранить картинки на сервере а в БД ссылку на них

[Михаил Ким]

Ярослав Иванов, тогда нужно будет загружать картинку на сервер возвращать ссылку на нее и уже вставлять в редактор. А ещё следить за тем, какие картинки остались в итоге, а какие нет и соответственно удалять ненужные файлы. Плюс при таком подходе пользователю придется ждать, пока картинка загрузится

[Ярослав Иванов]

Михаил Ким, Делать с помощью скриптов превью) то есть отображажение картинки на клиенте.

[Ярослав Иванов]

Nikolay Petyukh, А так можно было?)))

[Михаил Ким]

Nikolay Petyukh, мда уж. Вы вообще читали вопрос? Не я придумал кодировать картинки. Это вынужденная мера wysiwyg редактора.

[Ярослав Иванов]

Михаил Ким, Ну а если пользователь загрузит картинку в 1мб. Хранить ее в бд?

[Михаил Ким]

Ярослав Иванов, да нет, конечно, модерация перед вставкой будет

[Александр Маджугин]

Nikolay Petyukh, и тоже в БД.

[Андрей К]

Не понял, а зачем именно base64?

Какой профит Вы хотите получить?

Я вижу тут часто проблему, что люди спрашивая техническое решение не объясняют цель, для чего они это хотят сделать и поэтому не получают хороших ответов.

Но на безопасность как картинки вообще могут повлиять?

Answer 1

[SagePtr]

Если картинки маленькие, то можно и в base64 хранить. Если обычные или большие, то не стоит их хранить в base64, места занимать будут больше, чем если хранить в файлах, да и всё это придётся отдавать юзеру при каждом запросе (кэш не будет действовать на них).