利用PHP实现智能文件类型检测的实现代码

使用文件后缀和MIME类型检测
通常我们想严格限制文件类型的时候，可以简单地用$_FILES['myFile']['type'] 　取得文件的 MIME类型然后来检测它是否是合法的类型。
或者我们可以取文件名的最后几个字符来获取文件后缀，不幸的是，这些方法并不足够，可以很容易地改变文件的扩展名绕过这个限制。此外，MIME类型信息是由浏览器发送的，而且，对于大多数浏览器，即使不是全部，是根据文件的扩展名的来给出MIME类型信息的！因此，MIME类型，就像扩展名一样，可以很容易地欺骗。
使用“魔术字节”
确定文件类型的最佳方法是通过检查文件的前几个字节 – 称为“魔字节”。魔术字节本质上是文件头中不同长度在2到40个字节之间的，或在文件末尾的签名。有上百个类型的文件，他们中相当多的文件类型有好几个文件签名与它们相关联。在这里你可以看到一个文件签名列表。
偷懒的办法是使用fileinfo扩展，PHP 5.3.0　默认是启用的（根据官方MANUAL），如果没有启用，你可以自己启用
如在windows下面：


代码如下:

extension=php_fileinfo.dll

linux下面：


代码如下:

extension=fileinfo.so
#如不能正常工作，再加上下面这条
#mime_magic.magicfile=/usr/share/file/magic

windows下面如不能正常工作：
可参考：http://www.php.net/manual/en/fileinfo.installation.php#82570
下载file-5.03-bin.zip　，解压出来，在其中的share目录有magic.mgc　、magic　两个文件。
然后添加一个名为MAGIC的系统环境变量指向magic　文件。如D:\software\PHP\extras\misc\magic 　


代码如下:

function getFileMimeType($file) {
$buffer = file_get_contents($file);
$finfo = new finfo(FILEINFO_MIME_TYPE);
return $finfo->buffer($buffer);
}
$mime_type = getFileMimeType($file);
switch($mime_type) {
case "image/jpeg":
// your actions go here...
}

处理图像上传
如果你打算只允许图像上传，那么你可以使用内置的getimagesize()函数，以确保用户实际上是上传一个有效的图像文件。如果该文件不是有效的图像文件,这个函数返回false。


代码如下:

// 假设file input 域的name 属性为myfile
$tempFile = $_FILES['myFile']['tmp_name']; // path of the temp file created by PHP during upload
$imginfo_array = getimagesize($tempFile); // returns a false if not a valid image file
if ($imginfo_array !== false) {
$mime_type = $imginfo_array['mime'];
switch($mime_type) {
case "image/jpeg":
// your actions go here...
}
}
else {
echo "This is not a valid image file";
}

手动读取和解释“魔法字节”
如果由于某种原因，你不能安装FileInfo扩展，那么你仍然可以手动确定，通过读取文件的前几个字节，并比较它们与已知的魔法与特定文件类型相关联的字节的文件类型。这个过程肯定少许的试验和错误，因为还有一种可能，有少数非法的魔法字节与合法文件格式关联了。
然而这不是不可能的，几年前，我被要求做一个只允许真正的 mp3 文件上传的脚本文件，并且，当时我们不能用 Fileinfo, 我们只能依靠这种手动检测的方式了.
我花了一段时间来解析一些mp3文件的非法魔法字节，但很快，我得到了一个稳定的上传脚本。
在本文结束前，我想给大家一个警告: 确保你永远没有调用一个　include() 来包含一个上传的文件，因为PHP代码很可能会巧妙地隐藏在图片里面,并且图片也可以成功的通过你的文件检测，当这样的脚本运行时，只可能给系统带来破坏。
译自：http://designshack.co.uk/articles/php-articles/smart-file-type-detection-using-php/

赞 (0)

相关推荐

  • php 网页播放器用来播放在线视频的代码(自动判断并选择视频文件类型)

    在web开发中经常会碰到一些简单的视频播放功能,但现在的视频格式不同,并且可以动态增加,所以我们就必须把视频保存到数据哦,好了下面我们来看我写的段简单的 php视频网页播放器代码吧. 复制代码 代码如下: <?PHP include './admin/connect.php'; @extract($db->get_one("select * from movieinfo where id='".$_GET['id']."'")); $db->que

  • php 上传文件类型判断函数(避免上传漏洞 )

    复制代码 代码如下: function ($file_name,$pass_type=array('jpg','jpeg','gif','bmp','png')){ $yx_file = $pass_type; $kzm = substr(strrchr($file_name,"."),1); $is_img = in_array(strtolower($kzm),$yx_file); if($is_img){ return true; }else{ return false; } }

  • php 读取文件头判断文件类型的实现代码

    php代码实现读取文件头判断文件类型,支持图片.rar.exe等后缀.案例: 复制代码 代码如下: <?php $filename = "11.jpg";//为图片的路径可以用d:/upload/11.jpg等绝对路径$file = fopen($filename, "rb");$bin = fread($file, 2); //只读2字节fclose($file);$strInfo = @unpack("C2chars", $bin);$

  • PHP取二进制文件头快速判断文件类型的实现代码

    一般我们都是按照文件扩展名来判断文件类型,但是这个很不靠谱,轻易就通过修改扩展名来躲避了,一般必须要读取文件信息来识别,PHP扩展中提供了类似 exif_imagetype 这样的函数读取图片类的文件类型,但是很多时候扩展不一定安装了,有时候就需要自己来实现识别文件类型的工作. 下面代码就展示了自己通过读取文件头信息来识别文件的真实类型. 复制代码 代码如下: <?php     $files = array(        'c:\1.jpg',        'c:\1.png',     

  • PHP使用finfo_file()函数检测上传图片类型的实现方法

    本文实例讲述了PHP使用finfo_file()函数检测上传图片类型的实现方法.分享给大家供大家参考,具体如下: 在输入输出中,文件的交互必不可少,比如文件的上传什么的.这里我们来解决一个小问题,就是如何判断用户上传文件的文件类型. 举一个应用场面:在我们的Web应用中,比如用户上传头像,要求是png,jpg,gif格式,接收到图片后会根据图片格式类型做不同的头像切割处理,但个别用户会传一些只更改过文件后缀的非标准图片,比如nowamagic.jpg 强行修改成 nowamagic.png,这样

  • php实现不通过扩展名准确判断文件类型的方法【finfo_file方法与二进制流】

    本文实例讲述了php实现不通过扩展名准确判断文件类型的方法.分享给大家供大家参考,具体如下: 第一种方法 通过php的finfo_file() $handle=finfo_open(FILEINFO_MIME_TYPE);//This function opens a magic database and returns its resource. $fileInfo=finfo_file($handle,'./test.txt');// Return information about a f

  • php通过获取头信息判断图片类型的方法

    本文实例讲述了php通过获取头信息判断图片类型的方法.分享给大家供大家参考.具体实现方法如下: $filename = '617.gif' ; function pictype ( $file ) { /*$png_header = "/x89/x50/x4e/x47/x0d/x0a/x1a/x0a"; $jpg_header = "/xff/xd8";*/ $header = file_get_contents ( $file , 0 , NULL , 0 , 5

  • php通过文件头检测文件类型通用代码类（zip,rar等)

    php通过文件头检测文件类型通用代码类（zip,rar等)

    有时候我们这样做还不完善.可能有些人上存一些文件,但是他通过修改扩展名,让在我们的文件类型之内. 单实际访问时候又不能展示(因为扩展名与文件内容不符).下面这个php类,可能能够给我们带来帮助.一.php检测类 首先说明下,上面文件头与文件类型映射关系来自网上,如果你有新的文件需要检查,只需要将映射加入即可. 如果你需要知道文件头信息,可以通过工具:winhex打开标准文件查找.如: 代码: 复制代码 代码如下: <?php /*通过文件名,获得文件类型* *@author chengmo* *

  • PHP判断上传文件类型的解决办法

    分享给大家php判断上传文件类型的方法,大家一起学习学习. /** * 读取文件前几个字节 判断文件类型 * @return String */ function checkTitle($filename){ $file=fopen($filename, "rb"); $bin=fread($file, 2); //只读2字节 fclose($file); $strInfo =@unpack("c2chars", $bin); $typeCode=intval($s

  • PHP检测数据类型的几种方法(总结)

    在JavaScript中,使用typeof可以检测基本数据类型,使用instanceof可以检测引用数据类型.在PHP中,也有检测数据类型的方法,具体如下: 1.输出变量的数据类型(gettype) <?php $arry = array('a','b','c'); echo gettype($arry);//array ?> 2.输出变量的数据类型.包含的数量以及具体内容(var_dump) 查看源码打印代码帮助 <?php $str = 'hello world'; var_dump

  • php图片处理函数获取类型及扩展名实例

    本文实例讲述了php图片处理函数获取类型及扩展名的方法.分享给大家供大家参考. 具体实现代码如下: 复制代码 代码如下: image_type=image_type_to_mime_type(imagetype_png);   //获取png的mime类型 echo $image_type;           //输出结果 //   $file = '1.jpg'; $image = imagecreatefromjpeg($file); header('content-type: ' . i

  • PHP 文件类型判断代码

    何为MIME类型,它是设定某种扩展名的文件用一种应用程序来打开的方式类型,当该扩展名文件被访问时,浏览器会自动使用指定应用程序来打开. 多用于指定一些客户端自定义的文件名,以及一些媒体文件打开方式. 参考链接:php文件格式(mime类型)对照表 . 1.mime_content_type()函数判断获取mime类型 mime_content_type返回指定文件的MIME类型,用法: echo mime_content_type ( 'php.gif' ) . "\n" ; echo

  • php判断文件上传类型及过滤不安全数据的方法

    本文实例讲述了php判断文件上传类型及过滤不安全数据的方法.分享给大家供大家参考.具体如下: 禁止上传除图片文件以外的文件,提示,不要获取文件扩展名来判断类型,这样是最不安全的,我们用$_FIlES['form']['type']. 这个可以读取文件内容来识别文件类型,但它能识别的有限,不过如果你用图片就足够了解.函数,过滤不安全字符,实例函数代码如下: 复制代码 代码如下: function s_addslashes($string, $force = 0) {  if(!get_magic_

随机推荐