Pour gérer en toute sécurité les téléchargements de fichiers dans PHP, vous devez traiter chaque fichier comme une menace potentielle et implémenter plusieurs mesures de protection. 1. Limitez les types de fichiers à l'aide d'une liste blanche et vérifiez l'extension réelle après le renommer au lieu de s'appuyer sur les types de mime. 2. Renommer les fichiers avec des identifiants uniques pour empêcher l'écrasement et les URL obscures. 3. Définissez les autorisations de fichiers sécurisées comme 0644 et bloquez l'exécution du script dans le répertoire de téléchargement. 4. Stockez les téléchargements à l'extérieur de la racine du Web et utilisez un script PHP pour contr?ler l'accès, garantissant que même les fichiers malveillants ne peuvent pas être directement exécutés.

Lors de la gestion des téléchargements de fichiers dans PHP, la sécurité devrait être votre priorité absolue. Les fichiers des utilisateurs peuvent comporter toutes sortes de risques - de l'écrasement des données importantes à l'exécution de code malveillant. La clé est de traiter chaque fichier téléchargé comme potentiellement dangereux et d'appliquer des vérifications et des protections strictes.

1. Limiter les types de fichiers strictement

L'une des vulnérabilités les plus courantes avec des téléchargements de fichiers est d'autoriser des fichiers exécutables comme .php , .exe ou des scripts qui peuvent s'exécuter sur le serveur. Ne comptez pas uniquement sur la vérification des types de mime - ils peuvent être truqués.

Plut?t:

• Utilisez une liste blanche d'extensions autorisées (comme .jpg , .png , .pdf )
• Vérifiez l'extension de fichier réelle après l'avammer
• évitez complètement de faire confiance $_FILES['type']

Par exemple:

 $ autorisé = ['jpg', 'jpeg', 'png', 'pdf'];
$ ext = pathinfo ($ _ fichiers ['file'] ['name'], pathinfo_extension);
if (! in_array (strtolower ($ ext), $ permis)) {
    Die ('Type de fichier non autorisé.');
}

Envisagez également d'utiliser des bibliothèques PHP comme finfo_file() pour détecter le type de fichier réel en vérifiant son contenu.

2. Renommer les fichiers téléchargés

Permettre aux utilisateurs de télécharger des fichiers avec leurs noms d'origine ouvre la porte pour écraser les fichiers existants ou même télécharger des fichiers .htaccess ou config qui pourraient modifier le comportement du serveur.

Une bonne pratique consiste à renommer chaque fichier avec un nom aléatoire ou un horodatage:

 $ new_name = uniqid ('', true). '.' . $ ext;
move_uploaded_file ($ _ fichiers ['file'] ['tmp_name'], 'uploads /'. $ new_name);

Cela évite les conflits et rend la devinerie de l'URL de fichier plus difficile, ce qui ajoute une couche de protection de base.

3. Définir les autorisations de fichiers appropriés

Même si vous avez validé le fichier, si le répertoire de téléchargement a des paramètres trop permissifs (comme 777 ), il pourrait toujours être exploité. Définissez toujours les autorisations afin que les fichiers soient lisibles mais pas exécutables.

Par exemple, lors de la création ou du déplacement d'un fichier, utilisez:

 chmod ('uploads /'. $ new_name, 0644); // lisible par tout le monde, écrit uniquement par le propriétaire

Et assurez-vous que le répertoire de téléchargement n'autorise pas l'exécution des scripts - cela peut souvent être configuré dans .htaccess ou votre configuration de serveur Web.

4. Continuez à télécharger en dehors de la racine Web lorsque cela est possible

L'endroit le plus s?r pour les fichiers téléchargés par l'utilisateur est en dehors du répertoire Web public. De cette fa?on, même si quelqu'un parvient à télécharger un script, il ne peut pas être accessible directement via le navigateur.

Si vous devez servir ces fichiers, utilisez un script PHP pour gérer le contr?le d'accès:

 // download.php? file = xyz123.png
$ file = $ _get ['file'];
$ path = '/ sécurisé_uploads /'. Basename (fichier $);

if (file_exists ($ path)) {
    En-tête (?Content-Type: Application / Octet-Stream?);
    ReadFile ($ path);
    sortie;
}

Cela vous permet de enregistrer des téléchargements, de vérifier les autorisations ou de restreindre l'accès en fonction des r?les utilisateur.

Ces étapes ne garantissent pas la sécurité à 100%, mais elles réduisent considérablement le risque. Ce n'est pas compliqué, nécessite simplement une attention particulière à la fa?on dont les fichiers sont gérés à chaque étape.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!