根据用途设置元数据
应使用与实际内容相符的媒体类型，而不是只依据用户提供的文件扩展名。错误类型可能导致显示混乱或不安全；应验证上传内容，避免将不可信文件当作活动标记处理。
谨慎选择内联显示或作为附件下载，并使用安全文件名。考虑国际字符和特殊字符的处理，不要将未经清理的输入写入响应标头。
验证客户端收到的响应
通过应用实际使用的访问路径检查对象元数据和 HTTP 响应标头。CDN 或代理可能覆盖存储元数据，因此也要测试最终交付的响应。
修改元数据后检查缓存行为，必要时刷新缓存或更新版本。还应在目标浏览器或客户端中验证有代表性的文件类型。