php - 当文件存储在 webroot 之外时文件上传和下载？ (PHP)

Question

我正在构建一个本质上是工作板的网络应用程序——用户创建“工作/项目”，然后将其作为全局“待办事项”列表呈现给公司的其他人查看。

我尝试实现的功能之一是“附件”功能，允许用户上传文件作为每个项目数据的一部分。

想法是允许用户安全地上传文件，然后允许其他用户下载附件。

例如，如果我们正在为客户创建产品包装，那么最好能够将客户的 Logo (.pdf 或其他)作为项目数据的一部分附加，以便任何查看该产品的设计师使用我们工作板的项目可以下载该文件。

---

结合使用常见的上传技术并引用了一本 PHP 书籍(PHP 和 MySQL for Dynamic Websites - 作者:Larry Ullman)，我构建了以下 PHP 脚本:

[..]
// check if the uploads form has been submitted:
if($_SERVER['REQUEST_METHOD'] == 'POST') {

//check if the $_FILES global has been set:
if (isset($_FILES['upload'])) {

    //create a function to rewrite the $_FILES global (for readability):
    function reArrayFiles($file) {
        $file_ary = array();
        $file_count = count(array_filter($file['name']));
        $file_keys = array_keys($file);
        for ($i=0; $i<$file_count; $i++) {
            foreach ($file_keys as $key) {
                $file_ary[$i][$key] = $file[$key][$i];
            }
        }
        return $file_ary;
    }

    //create a variable to contain the returned data & call the function 
        //**Quick note: I thought simply stating 'reArrayFiles($_FILES['upload']);' would be enough, but I guess not
    $file_ary = reArrayFiles($_FILES['upload']);

    //establish an array of allowed MIME file types for the uploads:
    $allowed = array(
        'image/pjpeg', //.jpeg
        'image/jpeg',
        'image/JPG',
        'image/X-PNG', //.png
        'image/PNG',
        'image/png',
        'image/x-png',
        'image/gif', //.gif
        'application/pdf', //.pdf
        'application/msword', //.doc
        'application/vnd.openxmlformats-officedocument.wordprocessingml.document', //.docx
        'application/vnd.ms-excel', //.xls
        'application/vnd.openxmlformats-officedocument.spreadsheetml.sheet', //.xlsx
        'text/csv', //.csv
        'text/plain', //.txt
        'text/rtf', //.rtf
    );

    //these are two arrays for containing statements and errors that occured for each individual file upload
    //so I can choose exactly where these "errors" print on page, rather than printing where the script as a whole is called
    $statement = array();
    $upload_error = array();

    //multi-file upload, so perform checks and actions on EACH file upload individually:
    foreach ($file_ary as $upload) {

        //validate the uploaded file's MIME type using finfo:
        $fileinfo = finfo_open(FILEINFO_MIME_TYPE); //open handle

        //read the file's MIME type (using magic btyes), then check if it is w/i the allowed file types array
        if ( in_array((finfo_file($fileinfo, $upload['tmp_name'])), $allowed) ) {

            //check the file's MIME type AGAIN, but this time using the rewritten $_FILES['type'] global
            //it may be redundant to check the file type twice, but I felt this was necessary because some files made it past the first conditional
            if ( in_array($upload['type'], $allowed) && ($upload['size'] < 26214400) ) {

                //set desired file structure to store files:
                //the tmp directory is one level outside my webroot
                //the '$job_data[0]' variable/value is the unique job_id of each project
                //here, it is used to create a folder for each project's uploads -- in order to keep them organized
                $structure = "../tmp/uploads/job_" . $job_data[0] . "/";

                //check if the folder exists:
                if (file_exists($structure) && is_dir($structure)) {

                    //if directory already exists, get file count: (files only - no directories or subdirectories)
                    $i = 0;
                    if (($handle = opendir($structure))) {
                        while (($file = readdir($handle)) !== false) {
                            if (!in_array($file, array('.','..')) && !is_dir($structure.$file)) 
                                $i++;
                        }
                        closedir($handle);
                        $file_count = $i;
                    }
                } else {
                    //directory does not exist, so create it
                    //files are NOT counted b/c new directories shouldn't have any files) -- '$file_count == 0'
                    mkdir($structure);
                }

                //if file count is less than 10, allow file upload:
                //this limits the project so it can only have a maximum of 10 attachments
                if ($file_count < 10) {

                    if (move_uploaded_file($upload['tmp_name'], "$structure{$upload['name']}")) {
                        $statement[] = '<p>The file has been uploaded!</p>';
                    } else {
                        $statement[] = '<p class="error">The file could not be transfered from its temporary location -- Possible file upload attack!</p>';
                    }

                } else if ($file_count >= 10) { 

                    //if there are already 10 or more attachments, DO NOT upload files, return statement/error
                    $statement[] = '<p class="error">Only 10 attachments are allowed per Project.</p>'; 
                } 

            //ELSE FOR 2ND FILE TYPE CHECK:
            } else {
                $statement[] = '<p class="error">Invalid basic file type.</p>';
            }

            //set an error msg to $upload_error array if rewritten $_FILES['error'] global is not 0
            //this section of code omitted; literally every upload script does this
            if ($upload['error'] > 0) {
                switch ($upload['error']) {
                    [...]
                }
            }

            //remove the temp file if it still exists after the move/upload
            if ( file_exists($upload['tmp_name']) && is_file($upload['tmp_name']) ) {
                unlink ($upload['tmp_name']);
            }

        //ELSE FOR 1ST FILE TYPE CHECK
        } else {
            $statement[] = '<p class="error">Invalid MIME file type.</p>';
        }

        //close the finfo module
        finfo_close($fileinfo);

    } //END OF FOREACH

} //END OF isset($_FILES['upload']) conditional

}//END OF $_SERVER['REQUEST_METHOD'] == 'POST' conditional

---

我的 HTML 看起来像这样:

<form enctype="multipart/form-data" action="edit-job.php" method="post">
<input type="hidden" name="MAX_FILE_SIZE" value="26214400"/>
<fieldset>
    <legend>Upload Project Files</legend>
    <input type="file" name="upload[]"/>
    <input type="file" name="upload[]"/>
    <input type="file" name="upload[]"/>
    <input type="file" name="upload[]"/>
    <input type="file" name="upload[]"/>
    <p>Max Upload Size = 25MB</p>
    <p><b>Supported file types:</b> .jpeg, .png, .gif, .pdf, .doc, .docx, .xls, .xlsx, .csv, .txt, .rtf</p>
</fieldset>
<input type="submit" name="submit" value="Edit Job"/>
</form>

---

总而言之，我展示了一个多文件上传 PHP 脚本(带验证)和随附的 HTML。

我的方法不使用 MySQL 数据库，其中一个表将项目 ID 与关联的附件/文件等同起来，正如我看到的其他上传方法所使用的那样。

它只是在 webroot 之外的公共(public)位置为每个项目的附件创建唯一的文件夹，因为这应该更安全。

在这一点上，我承认这一切看起来很不正统，但在我不得不担心用户下载之前它运行良好!

---

无论如何，这是我的问题:

(1) 如何允许用户使用我的结构(在 webroot 之外)下载文件？

我最初尝试创建文件的基本链接，如下所示:

<a href="../tmp/uploads/{unique_folder}/{file_name}" target="_blank">{file_name}</a>';

但由于限制/固有安全性，这显然行不通。然后，我发现最好使用一个单独的“download.php”文件(如果我错了请纠正我)，就像这样:

'<a href="download.php?id=' . $job_data[0] . '&file_name=' . $file . '" target="_blank">' . $file . '</a>';

(将变量传递到单独的 .php 文件)

但是那个 .php 文件应该包含什么？我已经阅读了关于 php 的 header() 函数、从 tmp 原件重新创建 .pdf 文件等各种内容。

我只是无法理解这一切......

这里是我正在谈论的内容的链接:

http://web-development-blog.com/archives/php-download-file-script - 听起来您使用 php 访问文件而不是允许用户的浏览器执行此操作；任何人都可以验证此资源吗？

(2) 我做错了什么吗？

• 我应该为附件使用 MySQL 数据库吗(就像我提到的那样)？
• 我的上传脚本中是否存在明显的安全漏洞？
• 是否应该为慢速上传设置一个加载栏机制？等

我担心我的网络应用程序的整体完整性；我不想受到 SQL 注入(inject)/其他黑客方法的影响。

但除此之外，我想剔除我作为新手开发人员可能拥有的任何不良做法。

---

非常感谢您的反馈；如果您需要任何其他信息，请告诉我。

Answer 1

关于(1):

理论是:您将文件存储在 webroot 之外的某个地方，以防止直接访问并防止在服务器端执行。当用户提供正确的参数时，您必须能够找到它。 (但是，你应该小心，文件是如何呈现给用户的？数据库在这里可能会有帮助)如果安全是一个问题，你必须确保用户不能访问他不应该访问的文件(例如，当他有正确的下载链接但没有权限时，因为到目前为止你的下载链接似乎不是很神秘)。

您在问题中提到的脚本非常好，尽管我可能只使用 fpassthru 而不是 feof-fread-echo-loop。这里的想法本质上是找出 mime 类型，将其添加到标题中，然后将内容转储到输出流中。

关于(2):

使用数据库，尤其是使用准备好的语句是非常安全的，并且提供了一些额外的可能性。 (比如向附件添加一些评论、时间戳、文件大小、重新排序……)

您不检查 upload_name，这很可能是 ../../your webroot/index.php 或类似的东西。我的建议是将上传的文件存储为“file_ID”，并将其与原始文件名一起存储在数据库中。您可能还应该删除任何前导的多个点、斜线(“目录”)和类似内容。

正在加载条形图……好吧，我想这就是味道。