ClamAV模块在Drupal 10中处理大文件上传的配置优化

问题背景

在使用Drupal 10.3.6系统的ClamAV模块进行文件上传时，发现一个特殊现象：25MB以下的ZIP文件可以正常上传并完成病毒扫描，而超过25MB的文件则会被拦截并显示"反病毒扫描程序无法检查文件"的错误提示。这个问题在将"ClamAV不可用时的行为"设置为"允许未检查文件"时可以绕过，但这显然不是理想的安全解决方案。

根本原因分析

经过深入排查，发现问题的根源在于ClamAV守护进程(clamd)的默认配置限制。虽然Drupal系统本身已经正确配置了PHP和Apache的文件上传大小限制，但ClamAV服务端的扫描限制仍然保持着默认值，这导致大文件无法完成完整的病毒扫描流程。

解决方案

要解决这个问题，需要对ClamAV的配置文件进行以下关键参数调整：

1. MaxFileSize：设置ClamAV允许扫描的最大单个文件大小
2. MaxScanSize：设置ClamAV扫描时处理的最大数据量（包括解压后的内容）
3. StreamMaxLength：设置流式扫描的最大长度

具体配置示例如下（位于/etc/clamd.d/scan.conf）：

StreamMaxLength = "115343360"  # 110MB
MaxScanSize = "115343360"      # 110MB
MaxFileSize = "115343360"      # 110MB

配置建议

1. 数值设定原则：建议将这三个参数设置为略高于Drupal系统中设置的最大上传文件大小（例如Drupal设置为100MB，ClamAV可设为110MB）

2. MaxScanSize的特殊性：这个参数需要特别关注，因为它需要能够容纳解压后的文件内容。对于ZIP等压缩文件，建议设置为原始文件大小的2-3倍。

3. 服务重启：修改配置后必须重启ClamAV服务才能生效：

   systemctl restart clamav-daemon
   

验证配置

可以使用clamconf工具验证配置是否生效：

clamconf -n

在输出中应该能看到更新后的参数值。

性能考量

增大这些限制值可能会对系统资源产生影响，特别是内存使用。在资源有限的服务器上，需要权衡安全需求与系统性能。建议：

1. 监控系统资源使用情况
2. 根据实际业务需求设置合理的上限
3. 考虑对超大文件采用其他安全措施

总结

通过合理配置ClamAV的扫描参数，可以有效解决Drupal系统中大文件上传被错误拦截的问题。这需要在系统安全性和可用性之间找到平衡点，确保既能有效防范病毒威胁，又不影响正常的业务文件上传需求。