ファイルアップロード機能
content typeとnosniff
svg,xmlなど
URL、ファイルパスにユーザ入力を含まない
ダウンロードファイル名のエスケープ
publicにしないのであれば推測しやすいものを避ける
オリジンを分ける
クラウドサービス
directory traversalを避ける
well-known url
サムネイル生成
imagetragick