[php] zmienna $_FILES -zabezpieczenia Opcje

[mefjiu]

Czy takie zabezpieczenia wystarczą dla $_FILES ?

[PHP] pobierz, plaintext 
<?php
if (in_array($_FILES['a_img_file']['type'], $accepted)==FALSE) {
				$blad++;
				$errors[] = "Niepoprawny format pliku, tylko jpg, jpeg, gif, png.<br />\n";
			}
			elseif ( $_FILES['a_img_file']['size'] > 1024000) {
				$blad++;
				$errors[] = "Plik nie może być większy niż 1 mb.<br />\n";
			}else{}
?>
[PHP] pobierz, plaintext 

[Cezar708]

Czy takie zabezpieczenia wystarczą dla $_FILES ?

ogólnie tak... tylko powiedz przed czym chcesz się zabezpieczyć!

[Cysiaczek]

Możesz jeszcze dodać pole input w formularzu.

[HTML] pobierz, plaintext 
<input type="hidden" name="MAX_FILE_SIZE" value="30000" />
[HTML] pobierz, plaintext 

[mefjiu]

Chcę się zabezpieczyć przed osobami szukającymi luk w takich formularzach

co spowoduje dodanie tego
<input type="hidden" name="MAX_FILE_SIZE" value="30000" />
bo sprawdzanie wielkości pliku mam po stronie php

[specialplan]

Ja bym jeszcze sprawdzil:

[PHP] pobierz, plaintext 
<?php
/**
		* Allowed file extensions
		* @array
		*/
		public $allowed_extensions = array();
 
		/**
		* Allowed mime-types of uploaded files
		* @array
		*/
		public $allowed_mime_types = array();
 
		/**
		* Get file extension
		* @return string extension
		*/
		public function getExtension()
		{
			$file = pathinfo($this->getFileName());
			return $file['extension'];
		}
 
		/**
		* Get MIME (uses FILEINFO extension, howerer, if it is not compiled, extracts the mime 
type from a request constant)
		* @return string Mime-Type
		*/
		public function getMimeType()
		{
			if (class_exists('finfo', false))
			{
			   $finfo = new finfo(FILEINFO_MIME);
			   if (file_exists($this->getTMPName()))
			   {
				  return $finfo->file($this->getTMPName());
			   }
			   else
			   {
				  return $finfo->file($this->upload_dir.$this->upload_file_name);
			   }
			}
			else
			{
			   return isset($this->data[$this->upload_form_field]['type']) ? $this->data[$this->upload_form_field]['type'] : null;
			}
		}
 
		/**
		* Check if the mime-type of an uploaded file is allowed and throw an exception when it is not.
		* @return Exception - if not allowed, bool true if allowed
		*/
		protected function checkMimeType()
		{
			if (!in_array($this->getMimeType(), $this->allowed_mime_types))
			{
				throw new Exception('Type of the uploaded file is not allowed. The accepted file types are: '.join(',<br />', $this->allowed_mime_types));
			}
			else
			{
				return true;
			}
		}
 
		/**
		* Check the extension of an uploaded file
		* @return Exception - if not allowed, bool true if allowed
		*/
		protected function checkExtension()
		{
			if (!in_array($this->getExtension(), $this->allowed_extensions))
			{
				throw new Exception('The extension of an uploaded file is not allowed. The accepted file extensions a
re: '.join(', ', $this->allowed_extensions));
			}
			else
			{
				return true;
			}
		}
?>
[PHP] pobierz, plaintext 

To tylko wycinki klasy. Rozkmin Pan reszte sam:)

Pozdravki

[mefjiu]

ok spoko dzięki