0

Оцените безопасность скрипта

function upload($dir, $validext = array())
{   
    info  = '';
    //Имя загружаемого файла
    $file  = $_FILES['file']['name'];
    //Временная папка
    $tmp   = $_FILES['file']['tmp_name'];
    //Ошибки
    $error = $_FILES['file']['error'];
    //Получаем расширения загружаемого файла
    $ext   = pathinfo($file, PATHINFO_EXTENSION);
    //Новое имя файла
    $name  = time().'_'.rand(0,10000000).'.'.$ext;

    if($error === UPLOAD_ERR_OK)
    {
        switch($ext)
        {
            case 'jpg' : $im = imagecreatefromjpeg($tmp); break;
            case 'jpeg': $im = imagecreatefromjpeg($tmp); break;
            case 'gif' : $im = imagecreatefromgif($tmp);  break;
            case 'png' : $im = imagecreatefrompng($tmp);  break;
        }
        //Смотрим, картинка ли загружается
        if(!$im)
            $info = '<p>Не картинка</p>';
        else
        {
            //Создаем папку для перемещения изображений, если таковой нет
            if(!is_dir($dir))   
                mkdir($dir, 0777);
            //Валидация расширения
            if(!in_array($ext, $validext))
                $info = 'Не тот формат';
            else
            {   
                //Перемещаем файл в нужную директорию
                if(move_uploaded_file($tmp, $dir.$name))
                    $info = 'Файл загружен';
                else
                    $info = 'Ошибка зарузки файла';
            }
        }
    }
    else
    {
        //Формируем ошибки
        switch($error)
        {
        case  1: $info = '<p>Файл слишком большой</p>';                  break;
        case  2: $info = '<p>Файл слишком большой</p>';                  break;
        case  3: $info = '<p>Файл Загружен частично</p>';                break;
        case  4: $info = '<p>Вы не выбрали файл для загрузки</p>';       break;
        case  5: $info = '<p>Вы не выбрали файл для загрузки</p>';       break;
        case  6: $info = '<p>Не найдена папка для временных файлов</p>'; break;
        default: $info = '<p>Ошибка записи файла на диск</p>';           break;
        }
    }   
    return $info;
}

2 ответа 2

1

Я переменной $im присвоил бы null перед использованием.. Ну и валидацию формата бы в начало вынес (щас она смысла особого не несёт). А так ок.

1
  • Понял! Спасибо
    – vinnie
    30 июл 2012 в 19:44
0
  • проверять формат файла и получать расширение, лучше через mime типы, как показывает опыт пользователи очень любят, менять расширение файла к примеру с .bmp на .jpg.
  • switch конструкции, здесь вообще не нужны. читаемость кода в разы падает, для ошибок лучше сразу создать массив либо класс с кодом и сообщением ошибки, далее используя ключ массива с ошибками как код выдавать необходимое сообщение.
  • перед записью в директорию необходимо проверить права доступа, в идеале выдать ошибку о невозможнсти записи в данную директорию, не везде php скрипты исполняются от рута.
  • для переменной $dir было бы неплохо так же проверить на существование от корня, в зависимости от настроек php is_dir('/images/') может выдать false даже если директория реально существует.

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.