PHP文件上传安全指南：限制文件类型与大小，确保服务器安全

[id_1976262340]id_1542207974]

1. 限制文件类型

允许上传的文件类型是特定的，要避免用户上传可执行脚本文件，像.php、.asp 等这类文件。可以利用检查文件扩展名以及 MIME 类型的方式来达成。


// 允许上传的文件类型
$allowedTypes = array('image/jpeg', 'image/png', 'image/gif');
// 获取上传文件的 MIME 类型
$fileType = $_FILES['file']['type'];
if (!in_array($fileType, $allowedTypes)) {
    die('不允许上传该类型的文件');
}
?>

2. 限制文件大小

为了避免用户上传的文件过大而耗尽服务器资源，需要对上传文件的大小加以限制。能够在 PHP 代码里对文件大小进行检查，同时结合 php.ini 中的相关配置。


// 允许的最大文件大小（以字节为单位）
$maxSize = 2 * 1024 * 1024; // 2MB
// 获取上传文件的大小
$fileSize = $_FILES['file']['size'];
if ($fileSize > $maxSize) {
    die('文件大小超过限制');
}
?>

同时，还需要确保 php.ini 中的以下配置项设置合理：

upload_max_filesize = 2M
post_max_size = 2M

3. 重命名上传文件

为避免用户上传的文件名带有特殊字符，也避免与服务器上的文件重名，所以建议对上传的文件进行重命名。并且可以用唯一的标识符，像是时间戳或者随机字符串，来作为新的文件名。


// 获取文件扩展名
$fileExtension = pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION);
// 生成唯一的文件名
$newFileName = uniqid() . '.' . $fileExtension;
// 上传文件的目标路径
$targetPath = 'uploads/' . $newFileName;
// 移动上传的文件
if (move_uploaded_file($_FILES['file']['tmp_name'], $targetPath)) {
    echo '文件上传成功';
} else {
    echo '文件上传失败';
}
?>

4. 验证上传路径

要确保上传路径是安全的，不能让用户通过构建特殊的路径来绕过安全检查。并且，还得确保上传目录具备正确的文件权限。


// 上传目录
$uploadDir = 'uploads/';
// 检查上传目录是否存在且可写
if (!is_dir($uploadDir) ||!is_writable($uploadDir)) {
    die('上传目录不可用');
}
?>

5. 防范文件包含漏洞

不要直接利用用户上传的文件名来进行文件包含的操作，这样做的话，有可能会让攻击者上传恶意脚本，并且通过文件包含的漏洞来执行这些恶意脚本。

6. 检查文件内容

可以检查文件的内容，以确保文件确实是合法的文件类型。除了检查文件的扩展名和 MIME 类型之外，还可以这样做。比如，可以利用图像库（如 GD 库）来验证上传的图像文件是否有效。


// 检查上传的文件是否为有效的图像文件
if ($fileType == 'image/jpeg' || $fileType == 'image/png' || $fileType == 'image/gif') {
    $imageInfo = getimagesize($_FILES['file']['tmp_name']);
    if (!$imageInfo) {
        die('上传的文件不是有效的图像文件');
    }
}
?>

7. 防范跨站脚本攻击（XSS）

如果用户上传的文件能够被其他用户访问，比如图片等，那就需要对文件内容进行过滤，以防止文件内容中包含恶意的 JavaScript 代码。

8. 日志记录

记录与文件上传相关的信息，包括上传时间、上传者以及上传的文件名等内容，这样做是为了在遇到安全问题时能够进行审计和追踪。


// 记录日志
$logMessage = '文件上传：' . $_FILES['file']['name'] . ' 由 ' . $_SESSION['username'] . ' 于 ' . date('Y-m-d H:i:s') . ' 上传';
file_put_contents('upload_log.txt', $logMessage . PHP_EOL, FILE_APPEND);
?>