Todo upload passa por antivírus
Cada arquivo é escaneado pelo ClamAV. Em produção, se o scan não puder rodar, o upload é recusado (fail-closed). Executáveis e scripts são barrados por extensão, e HTML/SVG por sniffing de MIME, pra cortar ataque por arquivo disfarçado.
