验证图像的合法性（恶意软件/嵌入式XSS检测）

Question

我们的云系统最近接受了笔测试。 报告中提出的一个标志认为上传表格“允许上传任意数据”。 即使曾经限制在图像（主要通过扩展和mime检测中构建的PHP检测），他们仍然关注1）隐藏的恶意软件或2）嵌入图像本身的XSS攻击。

怎么可能防御这些载体？

编辑：建议的副本不适用，因为 -

具有嵌入式XSS的图像仍然可以通过常规检查进行验证（例如，它可以隐藏在gif文件的注释部分中）。 此外，检查图像大小已经是完成的检查之一，但研究将证明这种使用不可靠。