0

Оцените безопасность скрипта

function upload($dir, $validext = array())
{   
    info  = '';
    //Имя загружаемого файла
    $file  = $_FILES['file']['name'];
    //Временная папка
    $tmp   = $_FILES['file']['tmp_name'];
    //Ошибки
    $error = $_FILES['file']['error'];
    //Получаем расширения загружаемого файла
    $ext   = pathinfo($file, PATHINFO_EXTENSION);
    //Новое имя файла
    $name  = time().'_'.rand(0,10000000).'.'.$ext;

    if($error === UPLOAD_ERR_OK)
    {
        switch($ext)
        {
            case 'jpg' : $im = imagecreatefromjpeg($tmp); break;
            case 'jpeg': $im = imagecreatefromjpeg($tmp); break;
            case 'gif' : $im = imagecreatefromgif($tmp);  break;
            case 'png' : $im = imagecreatefrompng($tmp);  break;
        }
        //Смотрим, картинка ли загружается
        if(!$im)
            $info = '<p>Не картинка</p>';
        else
        {
            //Создаем папку для перемещения изображений, если таковой нет
            if(!is_dir($dir))   
                mkdir($dir, 0777);
            //Валидация расширения
            if(!in_array($ext, $validext))
                $info = 'Не тот формат';
            else
            {   
                //Перемещаем файл в нужную директорию
                if(move_uploaded_file($tmp, $dir.$name))
                    $info = 'Файл загружен';
                else
                    $info = 'Ошибка зарузки файла';
            }
        }
    }
    else
    {
        //Формируем ошибки
        switch($error)
        {
        case  1: $info = '<p>Файл слишком большой</p>';                  break;
        case  2: $info = '<p>Файл слишком большой</p>';                  break;
        case  3: $info = '<p>Файл Загружен частично</p>';                break;
        case  4: $info = '<p>Вы не выбрали файл для загрузки</p>';       break;
        case  5: $info = '<p>Вы не выбрали файл для загрузки</p>';       break;
        case  6: $info = '<p>Не найдена папка для временных файлов</p>'; break;
        default: $info = '<p>Ошибка записи файла на диск</p>';           break;
        }
    }   
    return $info;
}

2 ответа 2

1

Я переменной $im присвоил бы null перед использованием.. Ну и валидацию формата бы в начало вынес (щас она смысла особого не несёт). А так ок.

1
  • Понял! Спасибо
    – vinnie
    30 июл 2012 в 19:44
0
  • проверять формат файла и получать расширение, лучше через mime типы, как показывает опыт пользователи очень любят, менять расширение файла к примеру с .bmp на .jpg.
  • switch конструкции, здесь вообще не нужны. читаемость кода в разы падает, для ошибок лучше сразу создать массив либо класс с кодом и сообщением ошибки, далее используя ключ массива с ошибками как код выдавать необходимое сообщение.
  • перед записью в директорию необходимо проверить права доступа, в идеале выдать ошибку о невозможнсти записи в данную директорию, не везде php скрипты исполняются от рута.
  • для переменной $dir было бы неплохо так же проверить на существование от корня, в зависимости от настроек php is_dir('/images/') может выдать false даже если директория реально существует.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.