[php] Załącznik wgrywany na serwer. Jakie rozszerzenia dopuszczać?, Czy ograniczać użytkownikom format ładowanych plików? Opcje

[luis2luis]

Witam.
Piszę mechanizm do wysyłania wiadomości pomiędzy poszczególnymi użytkownikami. Zalaczniki sa ladowane na serwer.

Czy mam w jakiś sposób ograniczać format ładowanych plików?
Czy folder do którego ładuje pliki musi mieć odpowiednie uprawnienia? tzn brak wykonania? Proszę o podpowiedź.

Chce za wszelką cenę uniknąć możliwość ataku na strone.

[Pilsener]

Problem jest, że ktoś mi uploaduje plik php i wykona sobie swój kod.

Jeśli jest taka możliwość, to problem leży w aplikacji/konfiguracji serwera a nie w pliku. Bezpieczeństwo nie powinno być zależne od pliku i ratowanie się sprawdzaniem jego zawartości czy rozszerzenia to co najwyżej doraźna proteza.
Plik wrzucasz po prostu na serwer a gdy użytkownik chce go pobrać to aplikacja go odczytuje i mu wysyła - nie widzę tu żadnego zagrożenia.
Natomiast widziałem wiele razy, jak plik był walidowany na 50 sposobów (co powodowało frustrację użytkowników bo zawsze jakiś plik nie przechodził walidacji) po czym wrzucany do .... publicznego katalogu! (IMG:style_emoticons/default/facepalmxd.gif)