并且并没有对input有限制，这一点很危险，并且对input传入的值直接进行了反序列化。方法，因此跟进(这里将files的值赋给了filename，且files的类型是数组)方法一：数据流追踪思路（看方法下面还有没有跟方法，有继续跟，没有则切换）方法二：从 sink 往回追（找到危险函数，然后一步步往上看可控点）的方法，通过查找官方文档得知，这个方法会调用一个。跟进发现里面是判断严格模式开关是否开