Isu -isu keselamatan perlu diberi perhatian apabila memuat naik fail Laravel. 1. Anda mesti menetapkan jenis fail dan had saiz yang dibenarkan, gunakan peraturan imej dan mimes untuk mengesahkan format fail dan mencegah fail menyamar. 2. Namakan semula fail menggunakan uniqid () atau uuid untuk mengelakkan konflik dan meneka serangan dan mencegah risiko traversal jalan. 3. Pastikan direktori muat naik tidak dalam direktori root web, matikan kebenaran pelaksanaan skrip dalam konfigurasi pelayan atau mengembalikan kandungan fail melalui pengawal. 4. Secara pilihan menggunakan storan pihak ketiga seperti AWS S3 dan Alibaba Cloud OSS untuk meningkatkan keselamatan, dan mencapai kawalan akses yang lebih baik dan ketersediaan tinggi melalui pemandu konfigurasi FlySystem, tetapi kerumitan dan kos penggunaan perlu ditimbang.

Laravel menyediakan fungsi muat naik fail yang mudah, tetapi jika anda tidak memberi perhatian kepada isu keselamatan, ia boleh membawa kepada kelemahan yang serius. Apabila memproses muat naik fail, anda tidak boleh bergantung semata-mata pada pengesahan front-end, dan back-end mesti mempunyai mekanisme pemeriksaan yang ketat.

1. Tetapkan jenis fail dan had saiz yang dibenarkan

Apabila pengguna memuat naik fail, risiko yang paling biasa adalah suntikan fail berniat jahat, seperti memuat naik fail .php untuk menyamar sebagai imej. Untuk mengelakkan ini, sambungan fail yang dibenarkan dan jenis MIME hendaklah ditentukan secara eksplisit.

 $ permintaan-> validate ([
    'Avatar' => 'Diperlukan | Imej | Mimes: Jpeg, Png, Jpg, Gif | Max: 2048',
]);

Kod di atas bermaksud bahawa hanya fail imej dalam format JPEG, PNG, JPG, dan GIF diterima, dan saiznya tidak melebihi 2MB. Walaupun pemeriksaan mimes dapat menghalang kebanyakan fail yang disamarkan, lebih baik untuk menggabungkan peraturan image untuk memastikan bahawa mereka adalah imej sebenar.

Di samping itu, kaedah kawalan berbutir yang lebih baik boleh digunakan, seperti mendapatkan lanjutan asal melalui getClientOriginalExtension() , dan kemudian menentukan secara manual sama ada di Whitelist.

2. Gunakan nama fail rawak untuk mengelakkan konflik dan meneka serangan

Jika anda menggunakan nama fail yang dimuat naik oleh pengguna secara langsung, ia boleh menyebabkan masalah seperti melintasi laluan dan menimpa fail sedia ada. Adalah disyorkan untuk menamakan semula fail yang dimuat naik ke pengenal yang unik:

 $ fileName = uniqid (). '.' . $ file-> getClientOriginAxtension ();
$ file-> storeAs ('uploads', $ filename, 'public');

Ini secara berkesan dapat mencegah pencemaran nama fail atau serangan traversal jalan (seperti memuat naik fail bernama ../../evil.php ). Pada masa yang sama, ia juga boleh mengelakkan masalah penindasan yang disebabkan oleh memuat naik fail dengan nama yang sama oleh beberapa pengguna.

Jika anda mempunyai keperluan keselamatan yang lebih tinggi, anda boleh menggunakan hash_file() untuk hash kandungan fail sebagai nama fail, atau gunakan UUID dan bukannya uniqid() .

3. Elakkan secara langsung melaksanakan kandungan dalam direktori muat naik

Secara lalai, kedai -kedai Laravel memuat naik fail dalam storage/app/public dan pautan lembut ke public/storage . Walaupun ini mudah diakses, ia boleh dilaksanakan jika pengguna memuat naik skrip yang boleh dilaksanakan (seperti .php ) dan pelayan tidak dikonfigurasi dengan betul.

Untuk mengelakkan masalah ini:

• Pastikan direktori muat naik tidak di bawah direktori root web.
• Lumpuhkan kebenaran pelaksanaan skrip dalam direktori muat naik di Nginx atau Apache.
• Adalah mungkin untuk mempertimbangkan menyimpan fail sensitif dalam direktori bukan awam dan kandungan kembali melalui pengawal.

Sebagai contoh, di Apache, anda boleh melarang pelaksanaan fail PHP melalui .htaccess :

 <Fail "*.php">
    Perintah membenarkan, menafikan
    Menafikan dari semua
</Fail>

4. Gunakan pemacu penyimpanan pihak ketiga untuk meningkatkan keselamatan (pilihan)

Jika anda bimbang bahawa sistem fail tempatan terdedah kepada serangan, anda boleh mempertimbangkan menggunakan perkhidmatan penyimpanan awan (seperti AWS S3 dan Alibaba Cloud OSS) untuk menyimpan fail yang dimuat naik pengguna.

Laravel menyokong pakej pengembangan FlySystem dan sangat mudah untuk mengkonfigurasi. Hanya ubah suai fail konfigurasi filesystems.php , tukar pemacu lalai s3 , dan isi kekunci yang sepadan.

Faedah termasuk:

• Fail tidak terdedah kepada direktori rangkaian awam
• Kawalan akses yang lebih baik dan tetapan pautan anti-kecurian
• Sandaran automatik dan ketersediaan tinggi

Sudah tentu, ini juga meningkatkan kerumitan dan kos penggunaan, dan sama ada ia menggunakan bergantung kepada keperluan keselamatan dan anggaran projek.

Pada dasarnya itu sahaja. Muat naik fail mungkin kelihatan mudah, tetapi jika anda tidak berhati -hati, anda akan meninggalkan bahaya tersembunyi. Dari format pengesahan, menukar nama fail, untuk menyekat kebenaran pelaksanaan, setiap langkah tidak boleh ditinggalkan.

Atas ialah kandungan terperinci Mengendalikan fail memuat naik dengan selamat di laravel. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!