PHP: $ _FILES [ "file"] [ "gõ"] là vô ích

Question

tôi sử dụng var_dump(@$_FILES['file']['type']) để kiểm tra loại tập tin Tôi đã tải lên

Trước tiên, tôi tải lên một exe file gọi là "uninstall.exe", và nó trở

"string 'application/octet-stream' (length=24)" 

Sau đó, tôi đổi tên tập tin này để uninstall.png, nó trở

string 'image/png' (length=9) 

kết luận của tôi là: $ _FILES [ 'file'] [ 'type'] chỉ che phần mở rộng tệp ck, không phải là loại tệp gốc.

Các mã sau đây là từ w3cschool:

$allowedExts = array("gif", "jpeg", "jpg", "png"); 
$extension = end(explode(".", $_FILES["file"]["name"])); 
if ((($_FILES["file"]["type"] == "image/gif") 
|| ($_FILES["file"]["type"] == "image/jpeg") 
|| ($_FILES["file"]["type"] == "image/jpg") 
|| ($_FILES["file"]["type"] == "image/png")) 
&& ($_FILES["file"]["size"] < 20000) 
&& in_array($extension, $allowedExts)) 

Tôi nghĩ $_FILES["file"]["type"] trong mã trên là không cần thiết, chúng tôi chỉ có thể kiểm tra phần mở rộng tập tin sử dụng explode() và in_array

Tôi chỉ là một người mới bắt đầu php, ai đó có thể xác nhận ý tưởng của tôi? Cảm ơn!

Answer 1

Bạn hoàn toàn chính xác. Loại MIME được cung cấp bởi khách hàng và bạn không thể đảm bảo rằng nó là cor ­ rect. Đối với vấn đề đó, do đó, là phần mở rộng tập tin. Nếu bạn cần phải hoàn toàn chắc chắn, bạn cần phải xem nội dung tập tin.

Answer 2

Nếu bạn muốn đảm bảo rằng hình ảnh đã được tải lên, hãy sử dụng getimagesize, trả về 0 cho hình ảnh không phải.

Answer 3

Bạn nên sử dụng trình bao bọc của tiện ích mở rộng GD hoặc Imagick. Một cái rất tốt là WideImage.