[php] walidacja po typie mime Opcje

[hhg]

piszę walidacje do uploadowanych plikow, i m.in sprawdzam typ mime takiego pliku. Mam wpuszczac tylko .xls, .doc, i pare innych. Niestety cos takiego:

[PHP] pobierz, plaintext 
<?php
if (
			$_FILES[$pointer]['type'] !== 'application/pdf' &&
			$_FILES[$pointer]['type'] !== 'application/msword' &&
			$_FILES[$pointer]['type'] !== 'application/vnd.ms-excel' &&
			$_FILES[$pointer]['type'] !== 'drawing/x-dwf' &&
			$_FILES[$pointer]['type'] !== 'model/vnd.dwf' &&
			$_FILES[$pointer]['type'] !== 'application/acad' &&
			$_FILES[$pointer]['type'] !== 'image/vnd.dwg' &&
			$_FILES[$pointer]['type'] !== 'image/x-dwg'
		) {
			return new Notice(FALSE,'VALIDATE_UPLOADED_WRONG_FILE_FORMAT');
		}
?>
[PHP] pobierz, plaintext 

nie pozwala na jednym kompie wpuścic pliku .xls i .doc a na drugim pozwala!! nie rozumiem dlaczego
czy macie jakies pomysly dlaczego tak się dzieje?

z gory dzieki za pomoc

[revyag]

Napewno wina kompa ?
Dokumenty worda i excela i te z openoffica maja inne mime, pewnie tu masz problem.

[hhg]

to by sie zgadzalo w takim raziej jaki jest typ mime do open office do xls i doc? wszedzie jest podane to Officowe..

czy moze sa to odt i ods z
http://framework.openoffice.org/documentat.../mimetypes.html


Ten post edytował hhg 21.08.2007, 22:15:13

[piotrekkr]

To z manuala :

$_FILES['userfile']['type']

The mime type of the file, if the browser provided this information. An example would be "image/gif". This mime type is however not checked on the PHP side and therefore don't take its value for granted.

Nie powinno sie brac tego za bardzo wiarygodna informacje o typie mime bo jest ona sprawdzana jedynie po stronie przegladarki a ja mozna oszukac.
Kiedys tez myslalem o walidacji przez typ mime i doszedlem do tego: http://pl2.php.net/manual/pl/ref.fileinfo.php. Niestety nie na kazdym hostingu jest to rozszerzenie :/ A co do typow mime dokumentow to w necie poszperalem troche i znalazlem takie typy:

Kod

$allowed_mime_types = array (
                
                //images
                'image/bmp',
                'image/gif',
                'image/jpeg',
                'image/pjpeg',
                'image/png',
                'image/x-png',
                'image/tiff',
                'image/x-tiff',
                'image/x-windows-bmp',
                'image/vnd.djvu',
                'image/svg+xml',
                
                //documents
                'text/plain',
                'application/msword',
                'application/vnd.ms-powerpoint',
                'application/postscript',
                'text/sgml',
                'application/x-latex',
                'application/mspowerpoint',
                'text/rtf',
                'text/richtext',
                'application/vnd.ms-excel',
                'application/pdf',
                'application/postscript',
                'text/xml',
                'application/x-dvi',
                'application/vnd.oasis.opendocument.text',
                'application/vnd.oasis.opendocument.text-template',
                'application/vnd.oasis.opendocument.presentation',
                'application/vnd.oasis.opendocument.presentation-template',
                'application/vnd.oasis.opendocument.graphics',
                'application/vnd.oasis.opendocument.graphics-template',
                'application/vnd.oasis.opendocument.spreadsheet',
                'application/vnd.oasis.opendocument.spreadsheet-template',
                'application/vnd.oasis.opendocument.chart',
                'application/vnd.oasis.opendocument.formula',
                'application/vnd.oasis.opendocument.database',
                'application/vnd.oasis.opendocument.image',
                'application/vnd.sun.xml.writer',
                'application/vnd.sun.xml.writer.template',
                'application/vnd.sun.xml.calc',
                'application/vnd.sun.xml.calc.template',
                'application/vnd.sun.xml.draw',
                'application/vnd.sun.xml.draw.template',
                'application/vnd.sun.xml.impress',
                'application/vnd.sun.xml.impress.template',
                'application/vnd.sun.xml.writer.global',
                'application/vnd.sun.xml.math',
                'application/vnd.stardivision.writer',
                'application/vnd.stardivision.writer-global',
                'application/vnd.stardivision.calc',
                'application/vnd.stardivision.draw',
                'application/vnd.stardivision.impress',
                'application/vnd.stardivision.impress-packed',
                'application/vnd.stardivision.math',
                'application/vnd.stardivision.chart'
            );

W czesci documents sa tez uwzglednione typy mime staroffice office i openoffice. Jak znajdziesz jeszcze jakies inne to napisz

Ten post edytował piotrekkr 21.08.2007, 22:19:19

[hhg]

ok dzieki,
w takim razie dla exportowanych z OO .doc jest to:
application/vnd.oasis.opendocument.text

a dla exportowanych .xls jest to:
application/vnd.oasis.opendocument.spreadsheet

?

Ten post edytował hhg 21.08.2007, 22:24:34

[piotrekkr]

takie mime znalazlem googlujac po necie np na tej stronce http://www.prv.pl/dzialy/wiedza/webreporter/?id=0110 albo tutaj http://www.iana.org/assignments/media-types/application/ lub http://www.webmaster-toolkit.com/mime-types.shtml lub http://www.ltsw.se/knbase/internet/application.htp lub http://www.utoronto.ca/webdocs/HTMLdocs/Bo...b/mimetype.html itd google wie wszystko

Ten post edytował piotrekkr 21.08.2007, 22:35:38

[hhg]

ok, a jak sie zabezpieczasz przed podszywajacymi sie pod .doc i .xls plikami .php (spreparowany typ mime w przegladarce) ktore moga zniszczyc Ci bazę? bo na to jeszcze nie wpadłem

[piotrekkr]

nie tyle moga zniszczyc baze co poprostu umozliwi komus wrzucenie pliku ktorego typ jest zabroniony/nieporzadany

[hhg]

chodzi mi wrzucenie pliku .php ktorego uruchomienie moze sie zle skonczyc..

znalazlem cos
http://pl2.php.net/mime-content-type
testowales to?

Ten post edytował hhg 21.08.2007, 22:43:43

[piotrekkr]

Ostrzeżenie

This function has been deprecated as the PECL extension Fileinfo provides the same functionality (and more) in a much cleaner way.

Zalecaja niby fileinfo bo tamta funkcja jest przestarzala. Poza tym jak wrzucasz jakikolwiek plik php czy txt czy jakis inny plik tekstowy na serwer to jest to plik o typie 'text/plain' wiec przez mime nie dowiesz sie czy jest to kod php. Najlepiej byloby gdybys poprostu zmienial nazwe po uploadzie na jakas inna koncowke ktorej nie przetwarza domyslnie apache wtedy nie wykonalby sie skrypt. mozna tez uzyc .htaccess i zabezpieczyc folder przed kimkolwiek innym niz apache i php wtedy nawet jakby wpisal ktos bezposredni adres do pliku ze skryptem w przegladarke to dostalby Access Denied a php ladnie by sobie moglo korzystac z plikow w tym folderze

[hhg]

text/plain nawet nie wpuszczam

aha racja, w sume mozna nawet wyrzucic ten katalog poza public_html z plikami