php - 这安全吗？ (PHP下载脚本)

Question

我有一个简单的问题，关于这样做的安全性。我已经编写了一个 php 强制下载脚本，实际提供文件的部分应该看起来非常熟悉:

header('Content-Description: File Transfer');
header('Content-Type: application/force-download');
header('Content-Length: ' . filesize("user_files/".$temp_actual));
header('Content-Disposition: attachment; filename="'.$filename."\"");
readfile("user_files/".$temp_actual);

$filename 是他们看到的文件名，$temp_actual 是我服务器上的真实文件名。显然，上面有大量代码来防止发生不好的事情，但基本上，用户应该能够下载他们上传的任何内容。如果他们上传 .php 文件，我真的不希望它在服务器上运行，我希望通过强制下载将其传递给他们(并且他们确实需要能够上传任何文件类型) .

它按预期工作，所有文件扩展名都被强制下载，但我只是想绝对确定它们无法在我的服务器上运行任何 php 或 html 文件。

其他信息

user_files 位于网站根目录中，但 .htaccess 是“拒绝所有人”user_files 目录中的每个文件都附加 .file，而不是原始扩展名，当用户下载文件时，原始扩展名将被替换(可能有点过分)。

Answer 1

user_files 文件夹是否位于您网站的根目录中？如果是这样，他们可以上传 php 文件并导航到 http://mysite.com/user_files/somefile.php 并运行代码。当然，他们需要知道文件的临时名称，但如果您还没有知道，您应该确保您的 Web 服务器设置为不允许从该文件夹提供页面(或将其移至文档根目录之外) .