Sikkerhed ved upload

Du kan jo lave et array, hvor filen går i gennem og hvis den ikke har endelsen .jpg, .gif eller .png, så kan den ikke uploades. ;-)

Men nu har jeg jo lavet det ovenstående, og spørgsmålet er, om det ikke er godt nok?

Det er det vel, når du nu spørger om imagesize...

okay, så bruger jeg bare det :)

smid evt. et svar.

getimagesize er godt, men ikke helt godt nok. Du bør checke på endelsen, eller selv lave endelsen ud fra getimagesize()'s 2. resultat i arrayet (typen)...

Du kan bruge det der array-halløj jeg sagde i starten... ;oD

okay. Jeg bruger en kombination så. Hvis coderdk så også lige vil smide et svar.

Men noget andet er. Hvad er det, der ikke er godt nok ved getimagesize?

Hvis endelsen er .php kan arbitrær kode køres, et harmløst utestet eksempel:

<?php

    $billede =  'bldot.gif'; // Billednavn
    $ud = "ud"; // Hvilken folder skal der skrives til?
    $cnts = file_get_contents( $billede );
    $cnts .= '<?php phpinfo(); ?>'; // Tilføj noget php til data
    $fp = fopen( "$ud/$billede.php", "w" ); // Skriv og lav endelse til .php
    fwrite( $fp, $cnts );
    fclose( $fp );
    $img = getimagesize( "$ud/$billede.php" ); // Hent billedinfo
    echo "<pre>"; var_dump( $img ); echo "<pre>"; // Vis billedinfo
    // Vis billede og link direkte til billede
    // Følges linket køres php-koden
    echo "<img src='$ud/$billede.php'><br><a href='$ud/$billede.php'>her</a>";
   
?>

:)

(Det resulterende "billede" vil gå igennem din upload og "bestå" getimagesize-testen)

et simpelt:

if ( !preg_match("#\.(gif|jpe?g|jpe|png)$#i", $_FILE['userfile']['name'] ) )
{
  die( "Ulovlig filtype." );
}

Ville nok være tilstrækkeligt, ud over din getimagesize (du kan nok undgå getimagesize, men så er du da sikker på at det er et gyldigt billede).

Tak skal i have :)

Velbekomme