Bestand uploaden maar daarna het "path" in de database.
En hoe kan ik instellen dat ze persee een bepaalde afmeting moeten uploaden?
En hoe houd ik rekening dat ze niet een shell uploaden...
Toevoeging op 18/07/2016 08:07:06:
Edit: Size en formaat van het bestand zou ook fijn zijn.
Quote:
Dat is zeker mogelijk en inderdaad veel meer aan te raden dan alles in de database zetten.Is het mogelijk om het path te fetchen en dan op te slaan in de database met de column naam item_url
Quote:
Kijk eens wat er in $_FILES staat na het uploaden. Dit geldt ook voor je shell; door naar het bestandsformaat etc te kijken ben je al een heel eind op weg.En hoe kan ik instellen dat ze persee een bepaalde afmeting moeten uploaden?
http://php.net/manual/en/features.file-upload.php
Toevoeging op 18/07/2016 10:08:22:
ps: je kunt natuurlijk ook minder de nadruk leggen op een exact bepaald formaat, maar gewoon na het uploaden met een script het aangeleverde plaatje aanpassen naar hoe jij het wil hebben.
Voor zip bestanden ligt het helaas een stuk ingewikkelder. Veel hangt af van hetgeen er met de zip bestanden gaat gebeuren. Hierover schrijf je verder niets.
Laat je de zips uitpakken op je server om vervolgens met de uitgepakte bestanden iets te doen? Hier zou ik dus heel goed controleren of je bestanden krijgt die je verwacht en ook deze bestanden kun je weer controleren op mime types. Ga geen scriptbestanden uitvoeren zoals bijv. .php bestanden die geüpload zijn (middels een zip bestand). Gaan anderen de zip bestanden downloaden dan zou een waarschuwing wel op zijn plaats zijn dat er mogelijk virussen in kunnen zitten.
Er zijn ook nog virusscanners beschikbaar voor webservers zoals ClamAV.
Gewijzigd op 18/07/2016 11:45:11 door Frank Nietbelangrijk
Quote:
In aanvulling op Ramon zou ik zeker het bestand controleren op het mime-type en niet (alleen) op de extensie van de bestandsnaam of filename in geval van documenten of afbeeldingen.
Ik geloof dat de meeste browsers het MIME-type van een bestand juist baseren op de extensie, dus dat biedt weinig soelaas. Tenzij je hier een aparte module voor geinstalleerd hebt (mime_magic oid, aanname: Apache) blijft het gissen met wat voor bestanden je te maken hebt.
Het loont natuurlijk wel de moeite om te blijven controleren op extensie, ook kan een functie als getimagesize() uitkomst bieden om met enige zekerheid vast te kunnen stellen dat je met een afbeelding van doen hebt.
Wat je natuurlijk ook altijd kunt doen is deze bestanden buiten de webdirectory opslaan, zodat deze niet rechtstreeks van buitenaf benaderbaar zijn.
Thomas van den Heuvel op 18/07/2016 12:24:13:
Ik geloof dat de meeste browsers het MIME-type van een bestand juist baseren op de extensie, dus dat biedt weinig soelaas. Tenzij je hier een aparte module voor geinstalleerd hebt (mime_magic oid, aanname: Apache) blijft het gissen met wat voor bestanden je te maken hebt.
Dit heeft niets met een browser te maken Thomas. Gebruiker stuurt bestand naar server, server checkt het mimetype van het bestand dat op de server staat. Hier komt geen browser bij te pas.
http://php.net/manual/en/function.mime-content-type.php
Ik had het trouwens over $_FILES['file']['type'], die niet erg betrouwbaar is.
Thomas van den Heuvel op 18/07/2016 13:08:09:
Ik had het trouwens over $_FILES['file']['type'], die niet erg betrouwbaar is.
Duidelijk Thomas. Dit zegt php.net er over:
Quote:
$_FILES['userfile']['type']
The mime type of the file, if the browser provided this information. An example would be "image/gif". This mime type is however not checked on the PHP side and therefore don't take its value for granted.
The mime type of the file, if the browser provided this information. An example would be "image/gif". This mime type is however not checked on the PHP side and therefore don't take its value for granted.
(bron)
Je hebt dus helemaal gelijk :-)