[AEM Assets]{class="badge positive" title="適用於AEM Assets)。"}
將數位資產新增至Adobe Experience Manager做為Cloud Service Assets add-assets-to-experience-manager
Adobe Experience Manager Assets接受許多來源的數位資產型別。 它會儲存原始二進位檔和產生的轉譯、使用工作流程和Adobe AI服務處理資產，以及將內容分散到許多管道和介面。
Adobe Experience Manager會自動豐富已上傳數位檔案的二進位內容，讓資產更易於搜尋、可重複使用，並準備傳送。 Experience Manager使用豐富的中繼資料、智慧標籤、轉譯和其他 數位資產管理(DAM) 服務來豐富這些檔案。 您可以從本機資料夾或網路磁碟機將各種型別的檔案（例如影像、檔案及原始影像檔案）上傳到Experience Manager Assets。
將資產新增至存放庫的方法
除了最常用的瀏覽器上傳之外，還有其他將資產新增至Experience Manager存放庫的方法。 這些其他方法包括案頭使用者端（例如Adobe Asset Link或Experience Manager案頭應用程式）、上傳和客戶將會建立的擷取指令碼，以及新增為Experience Manager擴充功能的自動化擷取整合。
其他服務與處理
雖然您可以上傳和管理Experience Manager中的任何二進位檔案，但最常用的檔案格式支援其他服務，例如中繼資料擷取或預覽/轉譯產生。 如需詳細資訊，請參閱支援的檔案格式。
您也可以選擇對上傳的資產完成其他處理。 您可以在上傳資產的資料夾上設定數個資產處理設定檔，以自動新增特定中繼資料、轉譯或影像處理服務，確保資產符合傳送需求，無需手動干預。 請參閱上傳時處理資產。
上傳方法概述
Assets提供下列上傳方法。 Adobe建議您先瞭解使用案例，以及每個上傳選項的適用性，再開始使用，因為正確的方法取決於使用量、工作流程和相關角色。
上傳資產 upload-assets
Adobe Experience Manager Assets支援兩種上傳單一檔案或多個檔案的方法。 直接從您的案頭拖放檔案到Assets使用者介面（網頁瀏覽器）並放入目的地資料夾，或使用[建立]功能表從Assets使用者介面 中 啟動上傳。 這兩種方法都會將數位資產新增至您選取的資料夾位置。
-
在Assets使用者介面中，導覽至您要新增數位資產的位置。
-
若要上傳資產，請使用下列其中一種方法：
- 在工具列上，按一下建立 > 檔案。 如有需要，您可以在顯示的對話方塊中重新命名檔案。
- 在支援HTML5的瀏覽器中，將資產直接拖曳至Assets使用者介面。 此方法不會顯示rename-file對話方塊。
若要選取多個檔案，請按住
Ctrl鍵(Windows)或Command鍵(macOS)，然後在檔案選擇器對話方塊中選取資產。 使用iPad時，您一次只能選取一個檔案。 -
若要取消進行中的上傳，請按一下進度列旁的關閉(
X)。 因為取消會停止進行中的傳輸，Assets會刪除目前資產的部分上傳，以避免留下不完整的檔案。 如果您在上傳所有檔案之前取消上傳作業，Assets會停止上傳目前的檔案並重新整理內容。 不過，已完成上傳的檔案不會被刪除，並會保留在目標資料夾中。 -
Assets中的上傳進度對話方塊會顯示已成功上傳的檔案計數和無法上傳的檔案，為您提供批次的清除狀態。 此外，Assets使用者介面會顯示您上傳的最新資產或您先建立的資料夾。
處理現有資產的上傳 handling-upload-existing-file
上傳具有相同路徑（相同名稱和位置）的資產做為現有資產，會觸發警告對話方塊，其中顯示三個解決方法選項： 取代現有資產、建立另一個版本或保留兩者。 每個選項處理重複項的方式都不同：
-
取代現有資產：取代現有資產會完全覆寫現有資產，因此套用至現有資產的中繼資料和任何先前修改（例如註解與裁切）都會永久刪除。 這是因為取代會覆寫已儲存的資產，而非保留其歷史記錄。
note NOTE 如果資產已鎖定或出庫，則無法使用取代資產的選項。 -
建立其他版本：在存放庫中建立現有資產的新版本，保留舊版狀態，不會遺失任何工作。 您可以在時間表中檢視這兩個版本，並可視需要還原成先前的現有版本。
-
保留兩者：如果您選擇保留兩個資產，則新資產會重新命名，以便原始資產和新上傳的資產同時存在。
若要在Assets中保留重複的資產，請按一下[保留]。 若要刪除您上傳的重複資產，請按一下[刪除]。
檔案名稱處理和禁止使用的字元 filename-handling
Adobe Experience Manager (AEM) Assets會封鎖任何檔案名稱包含禁止使用的字元的資產上傳。 當檔案名稱包含一或多個不允許的字元時，Assets會顯示警告訊息並封鎖上傳，直到不允許的字元移除或檔案以允許名稱重新命名為止。 此保護措施在上傳點執行，因此在資產進入存放庫之前會擷取到有問題的檔案名稱。
為什麼存在這些限制
檔案名稱字元限制可確保資產和資料夾名稱在檔案系統、儲存層和Web URL之間保持相容。 斜線、冒號和其他保留符號等字元在檔案路徑和URL中具有特殊意義，因此限制它們可避免命名衝突、連結中斷和下游傳送錯誤。
為了符合您組織的特定檔案命名慣例，上傳Assets對話方塊可讓使用者在上傳期間指定較長的檔案名稱。 不支援下列（以空格分隔的）字元清單：
- 資產名稱的字元無效：
* / : [ \\ ] | # % { } ? &或;=（分號後接等號） - 資產資料夾名稱的字元無效：
* / : [ \\ ] | # % { } ? \" . ^ ; + & \t
無效的檔案名稱範例：
JPG_JD_small file ~!)$@;(-_=+^',..jpgJPG_JD_small file ~!)$@;=(-_+^',..jpg
這兩個範例都會遭到拒絕，因為它們包含上述清單中的保留字元。 若要成功上傳，請先移除禁止使用的字元，或將其取代為允許的替代字元，然後再重試上傳。
大量上傳資產 bulk-upload
大量資產擷取器可有效處理大量資產。 大規模擷取並非廣泛的檔案傾印或臨時移轉。 若要讓大規模內嵌成為有效滿足您業務目的的有意義的專案，請特意規劃移轉並組織資產組織。 由於每次擷取都是不同的，因此會考量您特定存放庫構成和業務需求中的因素，而非套用一般規則。 下列最佳實務可協助您規劃及執行大量擷取：
- 組織資產：移除數位資產管理(DAM)存放庫中不需要的資產。 請考慮移除未使用、過時或重複的資產。 此內部管理可減少傳輸的資料及擷取的資產數量，進而實現更快速、更可靠的擷取。
- 組織資產：請考慮以定義的邏輯順序組織內容，例如檔案大小、檔案格式、使用案例或優先順序。 大型複雜檔案需要較多的處理時間與系統資源，因此隔離這些檔案可避免處理瓶頸。 您也可以考慮使用檔案大小篩選選項（如下所述），個別擷取大型檔案。
- 交錯擷取：請考慮將您的擷取分割為多個大量擷取專案。 交錯內嵌可讓您更早看到內容，並視需要調整內嵌。 例如，您可在非尖峰時間擷取處理密集的資產，或逐漸在多個區塊中擷取。 不過，您可以一次擷取不需要太多處理的較小且較簡單的資產。
若要上傳大量檔案，請使用下列其中一種方法。 另請參閱使用案例和方法
- 資產上傳API：如有必要，請使用自訂上傳指令碼或使用API的工具來新增資產的額外處理（例如，翻譯中繼資料或重新命名檔案）。
- Experience Manager案頭應用程式：適合從本機檔案系統上傳資產的創意專業人員和行銷人員使用。 用它來上傳本機可用的巢狀資料夾。
- 大量擷取工具：在部署Experience Manager時，用於偶爾或最初擷取大量資產。
資產大量匯入工具 asset-bulk-ingestor
資產大量匯入工具僅適用於管理員群組，以從 Microsoft Azure Blob儲存體 或 Amazon Simple Storage Service (S3) 資料存放區大規模擷取資產。 僅限管理員存取，因為大量擷取是一種有特殊許可權的高流量操作，會將大量資產直接移入存放庫，並需要較高的許可權才能安全設定。 請參閱設定和擷取的影片逐步解說。
下圖說明管理員從資料存放區將資產擷取到Adobe Experience Manager中的各個階段。 內嵌會透過分段管道進行，其中資產會從連線的物件儲存體讀取、傳輸並處理到Experience Manager，以確保大型批次得到可靠處理：
先決條件
需要來自 Microsoft Azure 或 Amazon Web Services (AWS) 的外部儲存帳戶或貯體，才能使用此功能。 大量匯入程式會直接從此外部帳戶讀取來源資產，因此正確設定的Azure或AWS儲存位置是強制性的先決條件。
設定大量匯入工具 configure-bulk-ingestor-tool
若要在Adobe Experience Manager中設定大量匯入工具，請遵循下列步驟：
-
導覽至工具 > Assets > 大量匯入。 選取 建立 選項。
-
在 標題 欄位中指定大量匯入組態的標題。
-
從 匯入Source 下拉式清單中選取資料來源型別。
-
提供值以建立與資料來源的連線。 例如，如果您選取 Azure Blob儲存體 作為資料來源，請指定Azure儲存體帳戶、Azure Blob容器和Azure存取金鑰的值。
-
從下拉式清單中選取所需的驗證模式。 這兩種模式所授予的存取層級不同： Azure存取金鑰提供對Azure儲存體帳戶的完整、不受限制的存取，而 Azure SAS Token 可讓系統管理員使用許可權和到期原則來限制權杖的功能。 因此，Azure SAS Token是限制較嚴格的選項，只會授與特定範圍的限時存取權。
-
在「來源資料夾」欄位中提供包含資料來源中資產的根資料夾名稱。
-
（選用）在 依大小下限篩選 欄位中，提供資產的最小檔案大小（以MB為單位），以納入擷取程式。
-
(可選) 提供資產的檔案大小上限 (以 MB 為單位)，以納入「按大小上限篩選」欄位的擷取程序。
-
（選擇性）在 排除MIME型別 欄位中，指定要從擷取中排除的MIME型別清單（以逗號分隔）。 MIME型別會識別每個資產的檔案格式，因此此篩選器可讓您略過不想匯入的格式。 例如
image/jpeg, image/.*, video/mp4。 請參閱所有支援的檔案格式。 -
指定要包含在 包含MIME型別 欄位之內嵌中的MIME型別清單（以逗號分隔）。 請參閱所有支援的檔案格式。
-
選取 匯入後刪除來源檔案 選項，以在檔案匯入Experience Manager後，從來源資料存放區中刪除原始檔案。 這會回收來源資料存放區中的存放區，並防止在稍後執行時重新匯入相同的檔案。
-
選取「匯入模式」。 選取「跳過」、「取代」或「建立版本」。 略過模式是預設值：因為目標中已存在相符的資產，所以擷取程式會略過匯入該資產，以避免覆寫現有的內容。 檢視取代和建立版本選項的意義。
-
若要定義數位資產管理(DAM)中Experience Manager匯入資產的位置，請在 Assets目標資料夾 欄位中指定路徑。 例如，
/content/dam/imported_assets。 -
(選用) 在「中繼資料檔案」欄位中指定要匯入的中繼資料檔案 (以 CSV 格式提供)。 在來源Blob位置中指定CSV檔案，並在設定「大量匯入」工具時參照路徑。 此欄位中參考的CSV檔案格式與您大量匯入和匯出資產中繼資料時所使用的CSV檔案格式相同。 如果您選取 匯入後刪除來源檔案 選項，請使用 排除 或 包含MIME型別 欄位，或 依路徑/檔案篩選 欄位來篩選CSV檔案，因為這樣做會防止中繼資料CSV本身被刪除或擷取為資產。 您可以使用規則運算式來篩選這些欄位中的CSV檔案。
-
按一下[儲存]儲存組態。
管理大量匯入工具設定 manage-bulk-import-configuration
建立大量匯入工具設定後，您可以先驗證並評估設定，然後再將資產大量擷取到Experience Manager執行個體中。 在此階段管理設定可讓您檢閱其設定、確認與資產來源的連線，以及測試設定。 這可確保設定如預期般運作，並有助於在大規模匯入資產之前防止擷取錯誤。
存取組態管理選項 access-configuration-management-options
若要檢視管理大量匯入工具組態的可用選項，請瀏覽至工具 > Assets > 大量匯入，然後選取您要管理的組態。 選取組態會顯示可用於該特定設定的管理動作，可讓您在起始完整大量匯入之前檢查、評估及調整組態。 由於評估會在擷取之前進行，因此您可以及早識別並解決設定問題，降低資產匯入失敗或不完整的風險。
編輯設定 edit-configuration
若要編輯組態詳細資訊，請執行下列步驟：
- 選取要修改的組態。
- 按一下 編輯 以編輯模式開啟設定。
- 視需要更新可編輯的設定詳細資料，然後儲存變更。
兩個欄位保持固定，無法在編輯作業期間修改：組態 的 標題和匯入資料來源。 這些值會鎖定，因為它們會定義組態的身分及其匯入資料的原點，而在建立之後變更這些值，將會中斷初次設定組態時所建立的參照。 所有其他組態詳細資料仍可編輯，讓您精簡設定，而不需從頭重新建立組態。
刪除設定 delete-configuration
刪除大量匯入組態會將其從可用組態清單中永久移除。 當不再需要某個組態、建立錯誤或要以更新的組態取代該組態時，請刪除它。
若要刪除「大量匯入」組態，請執行下列步驟：
- 從大量匯入組態清單中選取您要移除的組態。
- 按一下刪除。
這個動作會移除選取的大量匯入組態。 由於刪除組態會移除其儲存的設定，因此在確認刪除之前，請仔細檢閱選取的組態，以確保不會移除仍在使用中的組態。
驗證與資料來源的連線 validate-connection
在您使用組態之前，驗證連線會確認Experience Manager可以連線到資料來源，以及提供的認證和連線引數是否正確。 執行此檢查會先防止因無法連線端點或無效驗證而造成的下游錯誤。
若要驗證與資料來源的連線，請執行下列步驟：
- 選取您要驗證的設定。
- 按一下檢查。
連線成功時，Experience Manager會顯示確認訊息，指出與資料來源的連線已建立。 此訊息會驗證設定是否有效且可供使用。
疑難排解失敗的連線 troubleshoot-connection
如果驗證不成功，Experience Manager會顯示錯誤訊息，而非成功確認。 若要解決失敗的連線，請驗證下列專案：
- 連線詳細資料：確認組態中的主機、連線埠和端點值已正確輸入。
- 認證：請確定提供給資料來源的使用者名稱、密碼或驗證權杖為有效且最新。
- 網路存取：確認Experience Manager可以透過網路連線到資料來源，而且防火牆或安全性規則不會封鎖連線。
更正組態之後，再按一下 檢查 以重新執行驗證。 重複此程式，直到成功訊息確認連線已建立。
叫用大量匯入工作的測試回合 invoke-test-run-bulk-import
選取組態並按一下 試執行 以叫用大量匯入工作的測試回合。 執行會驗證選取的大量匯入組態及其來源連線，而不匯入任何資產，讓您在認可完整匯入之前，先確認設定是否正確。 首先執行測試會降低匯入失敗或部分的風險，因為它會提前出現設定或連線問題，而不是在實際工作中出現。
測試回合完成後，Experience Manager會顯示下列大量匯入工作的詳細資料：
- 連線狀態 — Experience Manager是否使用提供的認證成功連線到設定的來源位置。
- Assets偵測到 — 在來源路徑中找到的符合匯入條件的資產數目。
- 預估的匯入範圍 — 即將匯入的內容概觀，以便您驗證設定以預期的檔案為目標。
- 警告或錯誤 — 無法成功匯入的任何問題，例如無法存取的路徑、無效的認證或不支援的資產。
檢閱這些詳細資訊，以確認設定正確。 如果 執行 報告錯誤或警告，請先解決這些問題，然後再次執行測試，再開始實際的大量匯入工作。
大量匯入期間處理檔名 filename-handling-bulkimport
當您大量匯入資產或資料夾時，Experience Manager Assets 會匯入存在於匯入來源中的整個結構。 Experience Manager遵循資產和資料夾名稱中特殊字元的內建規則，因此這些檔案名稱需要淨化。 這可確保匯入的名稱符合存放庫規則，且不會破壞資產路徑。 對於資料夾名稱和資產名稱，使用者定義的標題會保持不變，並儲存在 Java Content Repository (JCR) 屬性jcr:title中，該屬性會獨立於經過清理的技術名稱保留人類可讀的標題。
在大量匯入期間，Experience Manager會尋找現有資料夾以避免重新匯入資產和資料夾，也會驗證匯入發生所在的父資料夾中套用的清理規則。 如果已在父資料夾中套用清理規則，則相同的規則也將套用於匯入來源。 對於新匯入，將套用以下清理規則來管理資產和資料夾的檔名。
大量匯入中不允許的名稱
檔案和資料夾名稱中 不允許 下列字元：
- 控制字元和私用字元 （0x00到0x1F， \u0081， \uE000）
- 檔案或資料夾名稱結尾為點(.)
因此，名稱符合這些條件的檔案或資料夾會在匯入過程中被略過，並標籤為失敗。
正在處理大量匯入的資產名稱
針對資產檔案名稱，Experience Manager會使用API來清理JCR名稱和路徑： JcrUtil.escapeIllegalJcrChars。
-
Unicode字元不會變更
-
以其URL逸出代碼取代特殊字元，例如，
new%asset.png已更新為new%25asset.png：code language-none URL escape code " %22 % %25 ' %27 * %2A / %2F : %3A [ %5B \n %0A \r %0D \t %09 ] %5D | %7C
正在處理大量匯入的資料夾名稱
針對資料夾檔案名稱，Experience Manager會使用API來清理JCR名稱和路徑： DamUtil.getSanitizedFolderName。
-
大寫字元轉換為小寫
-
Unicode字元不會變更
-
以破折號(‘-’)取代特殊字元，例如，
new folder已更新為new-folder：code language-none " # % & * + . : ; ? [ ] ^ { } | / It is used for split folder in cloud storage and is pre-handled, no conversion here. \ Not allowed in Azure, allowed in AWS. \t space It is the space character.
排程一次性或循環的大量匯入 schedule-bulk-import
要為單次或定期大量匯入排程，請執行以下步驟：
-
建立大量匯入設定。
-
選取設定，然後從工具列選取排程。
-
設定單次擷取或排定每小時、每天或每週排程。 按一下「提交」。 循環排程可確保匯入來源中的新資產會以定義的間隔自動擷取，而不會手動重新執行。
檢視Assets目標資料夾 view-assets-target-folder
若要檢視在執行大量匯入工作後匯入資產的Assets目標位置，請選取組態，然後按一下檢視Assets。
執行大量匯入工具 run-bulk-import-tool
在設定大量匯入工具，並選擇性管理大量匯入工具設定之後，管理員可以執行設定工作以開始大量擷取資產。
若要啟動大量匯入程式，請瀏覽至工具 > Assets > 大量匯入，選取大量匯入設定，然後按一下執行。 再按一下 執行 以確認。
Experience Manager會在成功完成工作後，將工作狀態更新為 處理中 和成功。 若要在Experience Manager中檢視匯入的資產，請按一下檢視Assets。
在工作進行時，您可以依照以下方式控制擷取程式：
- 停止 — 選取設定，然後按一下 停止 以停止大量擷取程式。
- 執行 — 再次按一下 執行 以從停止的地方繼續程式。
- 試執行 — 按一下 試執行 以檢視仍在擱置匯入的資產詳細資訊，而不認可內嵌。 這可讓管理員在匯入完成之前驗證匯入的範圍。
管理執行後的工作 manage-jobs-after-execution
Experience Manager可讓您檢視大量匯入工作的歷史記錄。 工作歷史記錄包含工作的狀態、工作建立者、記錄以及其他詳細資訊，例如開始日期和時間、建立日期和時間，以及完成日期和時間。 此歷史記錄提供完整的稽核軌跡，可讓管理員追蹤、疑難排解及驗證每個大量匯入作業。
檢視大量匯入組態的工作歷史記錄 viewing-job-history
工作歷史記錄檢視可讓您檢視特定大量匯入設定的執行記錄，以檢視過去的匯入執行及其結果。 若要存取組態的工作歷史記錄：
- 選取您要檢閱其記錄的組態。
- 按一下工作歷史記錄。
- 從清單中選取特定工作。
- 按一下 開啟 以檢視該工作的完整詳細資訊。
Adobe Experience Manager顯示作業歷史記錄，可讓您檢查每個已記錄的大量匯入作業的狀態和結果。 檢閱此記錄對於確認匯入是否成功完成以及疑難排解任何未如預期完成的工作非常有用。
在[大量匯入工作記錄]頁面上，您也可以按一下[刪除]，將該特定的[大量匯入]工作從組態中移除。 刪除工作會將其記錄從「大量匯入」設定的工作歷史記錄中移除，協助您保持歷史記錄清單整潔並專注於相關執行。
使用案頭使用者端上傳資產 upload-assets-desktop-clients
除了網頁瀏覽器使用者介面(UI)，Adobe Experience Manager支援兩個案頭使用者端來上傳資產：Adobe Asset Link和Experience Manager案頭應用程式。 兩個案頭使用者端都可在不開啟網頁瀏覽器的情況下直接上傳資產。
- Adobe Asset Link可讓您從Adobe Photoshop、Adobe Illustrator和 Adobe InDesign 案頭應用程式中直接存取Experience Manager個資產。 您直接從Adobe Asset Link介面將目前開啟的檔案上傳到Experience Manager，無需離開Photoshop、Illustrator或InDesign。
- Experience Manager案頭應用程式可簡化案頭上的資產管理，無論檔案型別或處理每個資產的原生應用程式為何。 案頭應用程式是從您的本機檔案系統上傳 巢狀資料夾階層 中檔案的偏好使用者端，因為瀏覽器上傳僅支援一般檔案清單。 因此，當保留資料夾結構很重要時，Experience Manager案頭應用程式會在單一操作中上傳整個階層，而瀏覽器會要求先將檔案平面化。
上傳時處理資產 process-when-uploaded
在上傳資料夾上套用處理設定檔，對上傳的資產執行其他處理。 這些設定檔可在Assets中資料夾的 屬性 頁面上取得，它們可控制每個資產新增至資料夾後如何轉換。
沒有副檔名或副檔名不正確的數位資產，將無法正常處理。 因此，上傳此類資產時，由於系統需仰賴副檔名選取正確的設定檔，因此可能不會有任何反應，或適用的處理設定檔不正確。 即使正確的設定檔未自動執行，使用者仍可以將二進位檔案儲存在數位資產管理(DAM)存放庫中。
可使用下列標籤：
此外，如果您的部署已啟用Dynamic Media，則可使用下列其他標籤：
- Dynamic Media影像設定檔套用特定的裁切（智慧型裁切和畫素裁切）和銳利化設定至上傳的資產。
- Dynamic Media視訊設定檔套用特定的視訊編碼設定檔，包括解析度、格式和引數。
若為已指派處理設定檔的資料夾，設定檔名稱會出現在卡片檢視的縮圖上。 在清單檢視中，設定檔名稱會顯示在 處理設定檔 欄中。
使用API上傳或內嵌資產 upload-using-apis
開發人員參考的資產上傳區段提供上傳API和通訊協定的完整技術細節，以及開放原始碼軟體開發套件(SDK)和範例使用者端的連結。 這些應用程式設計介面(API)可讓開發人員以程式設計方式上傳或擷取資產，啟用自動化且可重複的工作流程，而非手動上傳。 開放原始碼SDK和範例使用者端透過提供現成的參考實作來加速整合，這些實作可示範上傳通訊協定在實務中的運作方式。
資產上傳安全性與最佳實務 asset-upload-security-and-best-practices
資產上傳安全性會控管使用者或系統提交的檔案如何驗證、掃描、儲存及提供服務，保護應用程式免受惡意內容、資料損毀及儲存或頻寬濫用的影響。 保護上傳管道被廣泛視為至關重要，因為不受限制或驗證不佳的上傳是插入惡意軟體、執行未經授權的程式碼和耗盡伺服器資源的最常見因素之一。
核心上傳安全性控制 core-upload-security-controls
有效的資產上傳安全性取決於在上傳生命週期的每個階段套用的分層控制項。 主要控制項包括：
- 檔案型別驗證 — 根據允許的格式明確允許清單（而非封鎖清單）來驗證每個上傳，因為允許清單更難略過並防止偽裝的可執行檔內容滑過。
- 檔案大小限制 — 強制使用大小上限臨界值，以防止因為過大的上傳而造成拒絕服務狀況，因為過大的上傳可能會耗盡磁碟空間或記憶體。
- 內容檢查 — 檢查實際的檔案簽章(Magic Bytes)，而不是信任副檔名或使用者端提供的MIME （多用途網際網路郵件副檔名）型別，因為攻擊者經常偽造副檔名以掩蓋有害檔案。
- 惡意程式碼掃描 — 先透過防毒軟體掃描或惡意程式碼掃描執行上傳的資產，再使用這些資產，確保隔離受感染的檔案，而非將其分發給其他使用者。
- 檔案名稱淨化 — 移除或標準化檔案名稱中的特殊字元、路徑分隔符號和控制順序，以避免路徑周遊和目錄逸出攻擊。
建議的最佳實務 recommended-best-practices
請依序套用這些最佳實務，強化上傳工作流程：
- 在伺服器上驗證 — 將所有使用者端驗證僅視為建議，並強制每個檢查伺服器端，因為惡意執行者可能會略過使用者端控制項。
- 將資產儲存在Web根目錄之外 — 將上傳的檔案保留在無法由Web伺服器直接執行的位置，以防止攻擊者以程式碼執行上傳的指令碼。
- 重新命名已上傳的檔案 — 將伺服器產生的、無法預測的識別碼指派給已儲存的檔案，以避免覆寫現有資產並防止列舉已儲存的內容。
- 限制許可權 — 授與已上傳檔案最低必要的讀取和寫入許可權，絕不將其標示為可執行檔，以確保無法執行受到威脅的檔案。
- 驗證並授權上傳 — 確認請求的使用者具有上傳的許可權，這會限制匿名濫用和未經授權的提交內容。
- 速率限制和節流 — 套用每個使用者或每個工作階段的上傳速率限制，以降低自動濫用和資源耗竭的風險。
上傳後的處理與儲存 handling-and-storage-after-upload
安全性職責會在檔案被接受後繼續執行。 若要在儲存和傳送期間保護資產：
- 透過加密的連線提供資產 — 透過HTTPS （超文字傳輸通訊協定安全）傳送上傳的內容，因此傳輸中無法攔截或篡改檔案。
- 隔離使用者產生的內容 — 從不同的網域或專用的 內容傳遞網路(CDN) 提供不受信任的上傳，因為隔離此內容會限制跨網站指令碼和Cookie竊取攻擊的影響。
- 設定正確的回應標頭 — 傳回正確的
Content-Type標頭，並在適當時強制下載，讓瀏覽器不會誤解並執行儲存的檔案。 - 記錄並稽核上傳 — 記錄上傳中繼資料和存取事件，可支援事件調查，並有助於及早偵測不當使用模式。
依照這些控制和最佳實務建立深入防禦的資產上傳方法，減少單一遺漏檢查導致全面妥協的風險。
使用預先簽署的URL直接二進位上傳 direct-binary-upload
Adobe Experience Manager (AEM) as a Cloud Service透過 直接二進位上傳 流程上傳資產，此流程分為三個步驟： (1)使用者端要求預先簽署的URL，(2)使用該URL直接將二進位上傳至儲存裝置，以及(3)以已驗證的API呼叫完成資產。 此設計會將大型二進位傳輸直接解除安裝到儲存裝置，同時保持資產註冊在驗證的控制之下。
URL期限和重複使用 url-lifetime-and-reuse
- 預先簽署的URL為短期有效，大約一小時的有效。 不過，確切的 存留時間(TTL) 不是已發佈或保證的Service level agreement (SLA)。 將持續時間視為可變更的實作詳細資訊，且不會將值硬式編碼為整合。
- 預先簽署的URL必須立即作為單一上載工作階段的一部分使用。 其設計宗旨並非要稍後儲存及重複使用，亦非可在多個上傳重複使用。 每個上載工作階段都會取得自己的URL。
預先簽署的URL安全性 security-of-presigned-urls
- 僅洩漏預先簽署的URL並不足以建立資產，因為資產的建立和最終確定取決於個別的驗證API呼叫，該呼叫使用有效的認證和
uploadToken。 如果實行者僅取得預先簽署的URL，則若沒有有效的驗證和相關聯的上傳權杖，該實行者將無法完成資產註冊。 - 此驗證要求會限制外洩的URL的實際影響：必要的認證和
uploadToken會做為第二個控制項，因此URL本身的外洩不會允許註冊未經授權的資產。 - 在您自己的整合中，將預先簽署的URL視為敏感值。 請避免記錄這些專案，一律使用HTTPS，並且在上傳工作階段之後不要保留這些專案。
程式化上傳的驗證 authentication-for-programmatic-uploads
只有 服務認證(JWT) 支援將程式化資產上傳到Adobe Experience Manager (AEM)。 AEM API存取存在兩種驗證機制，且對於資產上傳作業，它們不可互換。 選擇錯誤的認證型別是上傳整合失敗的最常見原因。
用於API上傳的技術帳戶必須在路徑層級授予明確的存放庫層級存取控制清單(ACL)。 需要兩個ACL許可權：
/content/dam上的jcr:read— 授予數位資產管理(DAM)內容根目錄的讀取存取權。- 特定目標子資料夾上的
rep:write（或jcr:all） — 授與資產上傳目的地路徑的寫入許可權。
除了正確的認證型別和正確的管理員主控台產品設定檔或群組成員資格之外，這些路徑層級ACL還需要。
技術帳戶可以正確授權和分組，並且仍會收到 403禁止存取 錯誤。 發生此狀況是因為產品設定檔或群組指派和存放庫ACL是獨立的控制項，而兩者都是強制性的。 因此，如果尚未授與路徑層級ACL，即使已正確設定其認證型別和產品設定檔，該帳戶也會被拒絕存取。
惡意程式碼偵測與隔離 malware-detection-and-quarantine
Adobe Experience Manager (AEM)中的 惡意程式碼偵測 會掃描每個上傳的檔案，並將任何受感染的檔案移至專屬的 隔離 區域，將可疑資產與存放庫的其餘部分隔離。 啟用 惡意程式碼偵測 時，系統會在每次上傳到達時掃描它，並在偵測到感染時自動隔離檔案。 這樣可隔離使用中工作流程的威脅，並防止受感染的資產被發佈、下載或分發給其他使用者。
隔離資產的存取權受 標準Adobe Experience Manager (AEM)許可權 所控管，這些許可權是透過專用的 隔離管理員 群組套用的。 由於隔離可見性未繫結至單一固定角色，因此可靈活擴充存取權：
- 根據預設，隔離管理員群組成員保留對隔離資產的存取權。
- 當作業或安全性需求需要更廣泛的監督時，可以授與其他自訂群組存取隔離區的許可權。
- 因此，多個群組可能同時保留隔離可見性，而不是限製為一個角色的功能。
此許可權模型可確保只有授權的使用者才能檢查、釋出或移除隔離的內容，並維持對潛在有害檔案的控制稽核程式。
如需惡意程式碼偵測與隔離的詳細資訊，請參閱惡意程式碼偵測。
檔案型別處理和上傳限制 file-type-handling-and-upload-restrictions
- Adobe Experience Manager (AEM)不會對上傳強制預設檔案型別限制。 可以上傳副檔名為 可執行檔 的檔案（例如，.exe或.exe.pdf）作為資產轉譯。
- 這是預期行為，而非漏洞。 AEM不會在瀏覽器或伺服器上轉譯或執行已上傳的使用中內容或指令碼。 由於上傳的檔案只會儲存及作為插入式資產轉譯，而非以程式碼執行，因此上傳可執行檔案本身不會在AEM的預設安全性模型下產生 遠端程式碼執行(RCE) 風險。 符合更嚴格規範要求的組織應該視需要套用自己的上傳驗證或允許清單，因為AEM不會以原生方式強制執行此項，並將此類控制項留給部署組織。
- 資產處理的支援檔案格式和MIME （多用途網際網路郵件副檔名）型別將單獨記錄。 不支援的型別未完全處理，這表示這類不支援的檔案可能不會產生預期的轉譯。
上傳可靠性最佳實務 upload-reliability-best-practices
上傳前最佳化資產 optimize-assets-before-upload
- 若是大型或專業化的資產型別，例如視訊、PDF和GIF，請遵循建議的檔案大小限制、編碼設定和偏好格式。 遵守這些規格可避免上傳、處理和預覽產生期間對平台效能造成影響，因為超大或非標準的檔案會在轉碼和縮圖產生步驟中放置最重的負載。
將支援的上傳路徑用於業務關鍵型檔案 use-supported-upload-paths
- 將支援的上傳API或UI流程用於業務關鍵檔案，而不是臨時資料夾層級的大量上傳。 支援的路徑會套用一致的驗證、編碼和錯誤處理，因此對於無法容忍損毀或遺失的檔案，這些路徑會成為更可靠的選擇。
- 資料夾層級的拖放上傳偶爾會造成檔案損毀 （根據報告的情況）。 因此，不建議將之用於關鍵資產。
如果資料夾層級上傳失敗或損毀檔案 folder-level-upload-fails
立即擷取證據，因為根本原因通常是環境特定或檔案特定的，一旦證據遺失，在事後就難以診斷。
- 一旦發生錯誤訊息或觀察到的行為，請立即將其記錄下來。
- 擷取失敗狀態及任何錯誤對話方塊的熒幕擷取畫面。
- 從瀏覽器工作階段儲存HTTP封存(HAR)檔案或網路記錄檔，因為這些記錄檔擷取追蹤錯誤所需的要求/回應詳細資料。
- 保留受影響的檔案，以便根據支援的上傳路徑重新測試。
立即擷取這些證據可為支援和工程團隊提供重現和解決問題所需的環境和檔案特定細節，而嘗試在事後診斷損毀（沒有記錄或原始錯誤）通常是不切實際的。
疑難排解上傳失敗檢查清單 troubleshooting-checklist-for-upload-failures
-
403禁止在API （應用程式設計介面）上傳：請先確認認證型別。 資產上傳API不支援Adobe Developer Console的OAuth S2S （伺服器對伺服器）認證。 請改用從Adobe Experience Manager (AEM)開發人員主控台發行的服務認證（JSON Web權杖或JWT）。 這兩個認證型別會透過不同的主控檯布建，並授與不同的範圍，因此將其中一個取代另一個會產生403 Forbidden，即使帳戶在其他方面看起來有效也是如此。
-
403已禁止，儘管認證和群組成員資格正確：確認技術帳戶在
/content/dam上擁有明確的jcr:read，在特定目標資料夾上擁有rep:write/jcr:all。 群組或設定檔成員資格不會取代檔案夾層級的存取控制清單(ACL)，因為AEM會授權在存放庫節點層級寫入資產，而非僅透過角色。 因此，在確切的目標資料夾上設定節點層級ACL之前，帳戶可以屬於正確的群組，但仍會被拒絕。 -
上傳成功，但資產無法顯示或二進位檔案已損毀：排除將資料夾層級的大量上傳作為擷取方法的可能性。 透過標準上傳API或使用者介面(UI)重試，如果問題仍然存在，請擷取記錄。 大量擷取路徑處理二進位檔的方式與標準API不同，因此隔離擷取方法是判斷損毀是否源自上傳路徑本身的最快方式。
-
安全性檢閱標幟不受限制的檔案上傳：澄清AEM預設不會執行已上傳的使用中內容伺服器端或瀏覽器中。 由於內容永遠不會執行，因此不受限制的檔案上傳是預期的平台行為，而不是缺陷 — 當內容無法執行時，儲存的作用中內容的主要風險會被抵消。 除非您的組織需要額外的上傳時間驗證，否則這有效，在此情況下，應在預設行為之上新增驗證作為原則控制。
-
擔心預先簽署的URL洩露：預先簽署的URL是時間限制、預先授權的連結，用來將二進位直接傳輸到儲存裝置。 確認該URL已在其短效有效期間使用，且資產最終確定仍需要攜帶有效
uploadToken的個別已驗證呼叫。 此兩步驟設計會限制洩漏的預先簽署URL （統一資源定位器）的曝光範圍，因為單獨擁有該URL時，若沒有有效、個別驗證的uploadToken，資產將無法完成。 因此，在有效性視窗關閉後洩漏的URL沒有實際寫入功能。
提示、最佳實務和限制 tips-limitations
-
直接二進位上傳是上傳資產的新方法。 產品功能和使用者端預設支援此功能，包括Experience Manager使用者介面、Adobe Asset Link和Experience Manager案頭應用程式。 客戶技術團隊自訂或擴充的任何自訂程式碼都必須使用新的上傳應用程式設計介面(API)和通訊協定。
-
大型資料夾處理： Experience Manager Assets支援包含1000個以上直接子項的資料夾 （資產或子資料夾）。 一旦資料夾超過此1000專案閾值，Admin UI就會切換到非同步更新的索引，以列出資料夾內容。 因為此索引以非同步方式更新，新建立的資料夾和資產會在短暫的延遲後出現，通常只需要幾秒。 在Admin View中開啟這類資料夾時，橫幅會將此行為通知一般使用者，並宣告如下：「此目錄包含1000個以上的專案。 上傳和新資料夾建立可能延遲。」
-
取代與資產識別碼重新產生：當您在名稱衝突對話方塊中選取 取代 時，新資產的資產識別碼會重新產生。 此ID與先前資產的ID不同。 如果Assets Insights已啟用追蹤曝光數或與Adobe Analytics的點按次數，則重新產生的資產ID會使在Analytics上為資產擷取的資料失效，因為Analytics會追蹤原始資產ID的曝光數與點按次數，且無法調解新ID與先前的記錄。
-
檔案名稱中禁止使用的字元：有些上傳方法不會阻止使用者上傳檔案名稱中有禁止使用的字元的資產。 在這些情況下，禁止使用的字元會以
-符號取代。 -
瀏覽器上傳限制：使用瀏覽器上傳資產僅支援一般檔案清單，不支援巢狀資料夾階層。 若要上傳巢狀資料夾內的所有資產，請使用案頭應用程式，以便在傳輸期間保留資料夾結構。
-
大量匯入資料夾結構：大量匯入方法會匯入整個資料夾結構，因為它存在於資料來源上。 不過，只有非空白資料夾會在Experience Manager中建立，這表示來源上的空白資料夾會從匯入的階層中忽略。
另請參閱