編寫(xiě)上傳過(guò)程腳本

根據(jù)您自己的經(jīng)驗(yàn)和剛才提到的要求檢查，您可能已經(jīng)猜到了文件上傳的流程。

• 訪問(wèn)者查看包含專(zhuān)門(mén)用于支持文件上傳的表單的 HTML 頁(yè)面。
• 訪問(wèn)者提供他想要上傳的文件并提交表單。
• 瀏覽器對(duì)文件進(jìn)行編碼，并將其作為對(duì)服務(wù)器發(fā)出的 POST 請(qǐng)求的一部分發(fā)送。
• PHP 接收表單提交，解碼文件并將其保存在服務(wù)器上的臨時(shí)位置。
• 負(fù)責(zé)處理表單提交的 PHP 腳本驗(yàn)證文件并以某種方式處理它，通常將其從臨時(shí)位置移動(dòng)到更永久的位置。

添加文件上傳支持需要您創(chuàng)建一個(gè)要呈現(xiàn)給用戶的 HTML 表單和一個(gè)用于處理服務(wù)器上上傳文件的 PHP 腳本。

HTML

HTML 表單提供用戶啟動(dòng)文件上傳的界面。請(qǐng)記住，<input> 元素的 method 屬性必須設(shè)置為 post，enctype 屬性必須設(shè)置為 multipart/form-data。一個(gè)文件 <input> 元素提供一個(gè)用于指定將要上傳的文件的字段。像任何其他表單元素一樣，提供 name 屬性非常重要，以便您可以在處理表單的 PHP 腳本中引用它。以下是基本文件上傳表單的標(biāo)記示例：

<code>file_uploads = On</code>

值得注意的是，不同的瀏覽器會(huì)以不同的方式呈現(xiàn)文件字段。IE、Firefox 和 Opera 將其顯示為帶有旁邊標(biāo)記為“瀏覽”或“選擇”的按鈕的文本字段。Safari 將其呈現(xiàn)為僅標(biāo)記為“選擇文件”的按鈕。這通常不是問(wèn)題，因?yàn)橛脩袅?xí)慣了該字段在其選擇的瀏覽器中的呈現(xiàn)方式，并且知道如何使用它。但是，有時(shí)您會(huì)遇到堅(jiān)持以某種方式呈現(xiàn)它的客戶端或設(shè)計(jì)師。由于瀏覽器施加的安全原因，可以應(yīng)用于文件字段的 CSS 和 JavaScript 的數(shù)量非常有限。樣式化文件字段可能很困難。如果外觀對(duì)您很重要，我建議您查看 Peter-Paul Koch 的《樣式化 input type="file"》。

PHP

有關(guān)文件上傳的信息通過(guò)多維數(shù)組 $_FILES 提供。此數(shù)組按分配給 HTML 表單中文件字段的名稱進(jìn)行索引，就像 $_GET 和 $_POST 按名稱進(jìn)行索引一樣。然后，每個(gè)文件的數(shù)組包含以下索引：

• $_FILES["myFile"]["name"] 存儲(chǔ)來(lái)自客戶端的原始文件名。
• $_FILES["myFile"]["type"] 存儲(chǔ)文件的 MIME 類(lèi)型。
• $_FILES["myFile"]["size"] 存儲(chǔ)文件的大?。ㄒ宰止?jié)為單位）。
• $_FILES["myFile"]["tmp_name"] 存儲(chǔ)臨時(shí)文件的名稱。
• $_FILES["myFile"]["error"] 存儲(chǔ)傳輸過(guò)程中產(chǎn)生的任何錯(cuò)誤代碼。

move_uploaded_file() 函數(shù)將上傳的文件從臨時(shí)位置移動(dòng)到永久位置。您應(yīng)該始終為此目的使用 move_uploaded_file() 而不是 copy() 和 rename() 等函數(shù)，因?yàn)樗鼤?huì)執(zhí)行額外的檢查以確保文件確實(shí)是通過(guò) HTTP POST 請(qǐng)求上傳的。如果您計(jì)劃使用用戶提供的原始文件名保存文件，最好確保這樣做是安全的。文件名不應(yīng)包含任何可能影響目標(biāo)路徑的字符，例如斜杠。名稱也不應(yīng)該導(dǎo)致文件覆蓋同名的現(xiàn)有文件（除非您的應(yīng)用程序設(shè)計(jì)就是這么做的）。我通過(guò)用下劃線替換任何非字母、數(shù)字或一組非常有限的標(biāo)點(diǎn)符號(hào)的字符，然后在同名文件已存在時(shí)附加遞增的數(shù)字來(lái)確保安全的文件名。以下是接收和處理 PHP 文件上傳的示例：

<code>file_uploads = On</code>

這段代碼首先確保文件上傳沒(méi)有錯(cuò)誤。然后，它確定安全的文件名（如我剛才所述），然后使用 move_uploaded_file() 將文件移動(dòng)到其最終目錄。最后，調(diào)用 chmod() 以確保在新文件上設(shè)置了合理的訪問(wèn)權(quán)限。

安全注意事項(xiàng)

我們大多數(shù)人都不會(huì)讓完全陌生的人在我們的個(gè)人電腦上存儲(chǔ)隨機(jī)文件，但當(dāng)您允許在我們的應(yīng)用程序中上傳文件時(shí)，您實(shí)際上就是在做這件事。您可能打算讓用戶上傳自己的照片作為個(gè)人資料頁(yè)面，但如果他試圖上傳特別制作的、帶有病毒的可執(zhí)行文件怎么辦？我想分享一些您可以采取的步驟，以最大限度地減少允許文件上傳固有的安全風(fēng)險(xiǎn)。其中一個(gè)步驟是驗(yàn)證上傳文件的類(lèi)型是否正確。依賴 $_FILES["myFile"]["type"] 的值或文件名的擴(kuò)展名是不安全的，因?yàn)閮烧叨既菀妆粋卧臁Ｏ喾?，使?exif_imagetype() 等函數(shù)檢查文件的內(nèi)容并確定它是否確實(shí)是 GIF、JPEG 或其他幾種受支持的圖像格式。如果 exif_imagetype() 不可用（該函數(shù)需要啟用 Exif 擴(kuò)展），則可以使用 getimagesize()。getimagesize() 返回的數(shù)組將包含圖像類(lèi)型（如果識(shí)別）。

<code>upload_tmp_dir = "/tmp"

tboronczyk@zarkov:~$ ls -l / | grep tmp
drwxrwxrwt  13 root root 40960 2011-08-31 00:50 tmp</code>

對(duì)于非圖像文件，您可以使用 exec() 來(lái)調(diào)用 unix file 實(shí)用程序。file 通過(guò)查找預(yù)期位置中的已知二進(jìn)制簽名來(lái)確定文件的類(lèi)型。

<code>file_uploads = On</code>

您可以采取的另一個(gè)步驟是對(duì) POST 請(qǐng)求的總大小和可以上傳的文件數(shù)量施加嚴(yán)格限制。為此，請(qǐng)?jiān)?php.ini 中為 upload_max_size、post_max_size 和 max_file_uploads 指令指定適當(dāng)?shù)闹?。upload_max_size 指令指定文件上傳的最大大小。除了上傳的大小之外，您還可以使用 post_max_size 指令限制整個(gè) POST 請(qǐng)求的大小。max_file_uploads 是一個(gè)較新的指令（在 5.2.12 版本中添加），它限制了文件上傳的數(shù)量。這三個(gè)指令有助于保護(hù)您的網(wǎng)站免受試圖通過(guò)造成大量網(wǎng)絡(luò)流量或系統(tǒng)負(fù)載來(lái)破壞其可用性的攻擊。

<code>upload_tmp_dir = "/tmp"

tboronczyk@zarkov:~$ ls -l / | grep tmp
drwxrwxrwt  13 root root 40960 2011-08-31 00:50 tmp</code>

您可以采取的第三個(gè)步驟是用病毒掃描程序掃描上傳的文件。在當(dāng)今病毒和惡意軟件廣泛傳播的時(shí)代，這至關(guān)重要，尤其是在您的網(wǎng)站稍后允許其他個(gè)人下載上傳的文件時(shí)，例如在基于 Web 的電子郵件客戶端或（合法）文件共享網(wǎng)站中的附件。有一個(gè) PHP 擴(kuò)展程序可以訪問(wèn) ClamAV，但是，當(dāng)然，您可以像我為 file 演示的那樣調(diào)用 ClamAV 的命令行實(shí)用程序。

總結(jié)

您已經(jīng)了解了使用您的網(wǎng)站或基于 Web 的應(yīng)用程序支持文件上傳是多么容易。為了使上傳成功，HTML 表單必須通過(guò) multipart/form-data 編碼的 POST 請(qǐng)求提交，并且 PHP 必須允許使用 file_uploads 指令指定的傳輸。文件傳輸后，負(fù)責(zé)處理上傳的腳本使用在 $_FILES 數(shù)組中找到的信息將文件從臨時(shí)目錄移動(dòng)到所需位置。我還分享了一些額外的預(yù)防措施，您可以采取這些措施來(lái)保護(hù)您自己和您的用戶免受與允許文件上傳相關(guān)的一些風(fēng)險(xiǎn)。您看到了如何確保文件名安全、驗(yàn)證文件類(lèi)型、對(duì)上傳流量施加嚴(yán)格限制以及掃描病毒。

(后續(xù)內(nèi)容，例如常見(jiàn)問(wèn)題解答部分，可以根據(jù)需要添加)