Безопасная загрузка файлов на сервер?

Question

[celovec]

На мой сервер клиенты загружают картинки, видео и другие файлы, без ограничений.
Как мне обезопасить такую загрузку?
Первое что приходит в голову — это загружать файл с сайта в папку другого поддомена, к примеру files.example.com, в котором будет отключен php и другие языки программирования.
И на главный сайт example.com грузить файлы через этот поддомен.
Насколько это обезопасит меня, XSS они уже не смогут сделать? Как-то по другому смогут навредить главному сайту?

Comments

[Дмитрий]

Можно тоже самое сделать и с любой папкой, отключить выполнение файлов через .htaccess

[Антон Р.]

Дмитрий, тогда следующая задача - защитить файл .htaccess от изменения ) Бесконечная борьба меча и щита.

Answer 1

[Антон Р.]

Вот неплохая статья: https://habr.com/ru/post/44610/

Answer 2

[xmoonlight]

Загружайте всегда ВЫШЕ папки www web-root, чтобы исключить вызов обработчика с веба.
Пример иерархии папок:

upload
www //web-root