使用PHP上傳圖片與從上傳圖片創建圖片時的驗證過程

我的問題很簡單。我不應該讓用戶上傳圖像，而是從源代碼創建圖像時，是否應該在驗證中進行徹底檢查？使用PHP上傳圖片與從上傳圖片創建圖片時的驗證過程

我在想，我只會用$_FILES['file']['tmp_name']用PHP創建功能的新的JPEG或PNG圖像。

在php.net，我發現這個建議得票最多，我應該做這樣還是矯枉過正？

try { 

    // Undefined | Multiple Files | $_FILES Corruption Attack 
    // If this request falls under any of them, treat it invalid. 
    if (
     !isset($_FILES['upfile']['error']) || 
     is_array($_FILES['upfile']['error']) 
    ) { 
     throw new RuntimeException('Invalid parameters.'); 
    } 

    // Check $_FILES['upfile']['error'] value. 
    switch ($_FILES['upfile']['error']) { 
     case UPLOAD_ERR_OK: 
      break; 
     case UPLOAD_ERR_NO_FILE: 
      throw new RuntimeException('No file sent.'); 
     case UPLOAD_ERR_INI_SIZE: 
     case UPLOAD_ERR_FORM_SIZE: 
      throw new RuntimeException('Exceeded filesize limit.'); 
     default: 
      throw new RuntimeException('Unknown errors.'); 
    } 

    // You should also check filesize here. 
    if ($_FILES['upfile']['size'] > 1000000) { 
     throw new RuntimeException('Exceeded filesize limit.'); 
    } 

    // DO NOT TRUST $_FILES['upfile']['mime'] VALUE !! 
    // Check MIME Type by yourself. 
    $finfo = new finfo(FILEINFO_MIME_TYPE); 
    if (false === $ext = array_search(
     $finfo->file($_FILES['upfile']['tmp_name']), 
     array(
      'jpg' => 'image/jpeg', 
      'png' => 'image/png', 
      'gif' => 'image/gif', 
     ), 
     true 
    )) { 
     throw new RuntimeException('Invalid file format.'); 
    } 

    // You should name it uniquely. 
    // DO NOT USE $_FILES['upfile']['name'] WITHOUT ANY VALIDATION !! 
    // On this example, obtain safe unique name from its binary data. 
    if (!move_uploaded_file(
     $_FILES['upfile']['tmp_name'], 
     sprintf('./uploads/%s.%s', 
      sha1_file($_FILES['upfile']['tmp_name']), 
      $ext 
     ) 
    )) { 
     throw new RuntimeException('Failed to move uploaded file.'); 
    } 

    echo 'File is uploaded successfully.'; 

} catch (RuntimeException $e) { 
    echo $e->getMessage(); 
}

來源

2015-06-21 Alex

我認爲你應該這樣做（你是那樣徹底的驗證）.Reasons

如果什麼人上傳有害的PHP文件？
如果什麼人上傳大尺寸文件？
其他安全問題

。
的驗證如此徹底是必要的，否則這將是需要驗證site.The時間的危險是less.So安全是最重要的。

您在php.net上獲得的代碼驗證文件大小，擴展等，這是完美的，並最大限度地降低風險。

也是從源頭創建圖像需要更多的resources.So讓用戶在驗證上傳圖片和深入是最好的。 :)

來源

2015-06-21 16:42:18

感謝您的回答。但它似乎在這裏不同意你的答案：http://stackoverflow.com/questions/15595592/php-validating-the-file-upload。「唯一可靠的圖像驗證方法是使用GD或Imagick製作它的副本」因此，您不應讓用戶上傳圖像以節省資源。或者我錯了？ – Alex

使用PHP上傳圖片與從上傳圖片創建圖片時的驗證過程

回答

相關問題