php文件图片上传安全

Question

$filename=$_FILES['file']['name'];
$type=$_FILES['file']['type'];
$extension=strtolower(substr($filename, strpos($filename, '.')+1));
$size=$_FILES['file']['size'];


if(($extension=='jpg' || $extension=='jpeg') && ($type!='image/jpg' || $type!='image/jpeg')){...

我有一个输入文件，只能让用户上传 jpg/jpeg 图片，我有检查类型、扩展名、大小。

1. 但是我不确定如何检查用户是否更改了扩展名。(例如 abc.php -> abc.jpg)

2. 在将用户图像保存到我的服务器之前我还需要检查什么吗？

Answer 1

您可以使用exif_imagetype()检查图像

http://www.php.net/manual/en/function.exif-imagetype.php

exif_imagetype() reads the first bytes of an image and checks its signature.