php - 安全地允许通过 MIME TYPES/fil 上传网络字体(ttf、eot、svg、woff、otf)

Question

我试图通过检查 mime 类型来允许在我们的应用程序中安全上传网络字体。这适用于我们允许的大多数类型的文件，但它对网络字体来说是个问题。

我们使用 PHP 的 http://php.net/manual/en/book.fileinfo.php 检查 mime 类型

问题是 php 会将所有网络字体检测为 mime“application/octet-stream”，但允许这样做，将允许 .exe 或许多其他可能危险的文件上传。

处理此类文件上传的最佳方式是什么？

Answer 1

找到一个包含字体格式信息的魔法文件，并将其传递给 finfo_open()。