0

Здравствуйте, товарищи!

Есть код, который участвует в загрузке картинок на сервер. Всё бы хорошо, но если выводится сообщение об ошибке (не тот тип файла, если попробовать залить скрипт или что либо отличное от картинки), то выводится предупреждение: Warning: finfo_file(): Empty filename or path in ...php on line 82

Это конечно ничего, мы знаем, что пусто, а сообщения об ошибках можно потом отключить, но это ведь как-то не правильно, что выводится в принципе. Я вот думаю, можно ли подставлять что-то по-умолчанию, чтобы оно не ругалось? Что-то вроде: finfo_file() = null или как-то по-иному…

Вот код:

if (isset($_FILES['file'])) {
    $fileTmpName = $_FILES['file']['tmp_name'];
    $fileInfo = finfo_open(FILEINFO_MIME_TYPE);
    $mime = (string) finfo_file($fileInfo, $fileTmpName);
    if (strpos($mime, 'image') === false) {
        $message = 'Возможна загрузка только изображений!';
    } else {
        $image = getimagesize($fileTmpName);
        $extension = image_type_to_extension($image[2]);
        $path = 'Public/img/uploads/' . uniqid() . $extension;
        move_uploaded_file($fileTmpName, $path);
        $id = $this->model->fileUpload($path);
        $message = 'Файл загружен!';
    }
}
3
  • 1
    а чем не устраивает if (!$fileInfo) { $message = "Открытие базы данных fileinfo не удалось"; exit(); } ? 4 апр 2021 в 17:05
  • А так ведь, мне нужно просто чтобы выводилось «Грузите только картинки», если пытаются что-то иное залить :) А если exit(), то отваливается макет)) Или можно просто проверять if (!$fileInfo) и тогда не будет ругаться?
    – Linne
    4 апр 2021 в 17:38
  • А можно дурацкий вопрос? Почему работа идёт с переменной $_FILES['file']['tmp_name'], а на существование проверяется $_FILES['file']? 5 апр 2021 в 5:12

1 ответ 1

0

Проще получить тип из массива данных о файле.

if (
    isset($_FILES['file'])
    && strpos($_FILES['file']['type'], 'image') !== false
) {
    echo "type: image";
}

Пример может содержать потенциальною уязвимость.

Как уточнил Ипатьев

Никогда нельзя доверять информации, пришедшей из браузера

Я соглашусь с данным утверждением. Хоть и упустил его изначально.


С помощью isset вы определяете установленна переменная $_FILES. При входе на страницу (GET запросе) эта проверка работает. Но, если вы отправите форму без файла, переменная $_FILES будет создана, но с пустыми значениями. Документация, предпоследний абзац второго примера.

array(1) {
  ["file"]=>
  array(5) {
    ["name"]=>
    string(0) ""
    ["type"]=>
    string(0) ""
    ["tmp_name"]=>
    string(0) ""
    ["error"]=>
    int(4)
    ["size"]=>
    int(0)
  }
}

Поэтому, перед тем как считывать файл нужно проверить, что файл был отправлен. Это можно сделать с помощью поля error или проверить содержит ли массив данные об имени или временном пути файла.

if (isset($_FILES['file']) && $_FILES['file']['error'] === UPLOAD_ERR_OK) {
    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    $mime = finfo_file($finfo, $_FILES['file']['tmp_name']);

    if (strpos($mime, 'image') !== false) {
        // Save file
    } else {
        // error
    }
}
4
  • А как это применить в моём коде? Не соображу, к сожалению…
    – Linne
    4 апр 2021 в 22:46
  • 1
    Никогда нельзя доверять информации, пришедшей из браузера 5 апр 2021 в 5:09
  • @Ипатьев, Спасибо. Упустил этот момент.
    – E_K
    5 апр 2021 в 10:39
  • 1
    Лучше наверно проверить что файл корректно загружен, это статус UPLOAD_ERR_OK Потому как помимо UPLOAD_ERR_NO_FILE есть и другие ошибки загрузки.
    – u_mulder
    5 апр 2021 в 10:48

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.