是否可以在上傳文件夾中阻止php腳本？

Question

我正在經歷我的第一個形式在PHP上傳圖像。

我在網上看過一些文章，說明它可能是危險的，所以有辦法阻止指定文件夾上的腳本？用.htaccess或php .ini指令？

Answer 1

最好的方法是確保您的上傳目錄不在您的webroot中。只要網絡服務器具有讀/寫訪問權限，您就可以正常使用 - 不用擔心可執行文件上傳。這被討論了here on stackoverflow。

Answer 2

最好的辦法是在上傳時驗證文件的擴展名。如果它不是jpg/png/gif/etc，請關閉它。只要你的網絡服務器沒有錯誤地將任何文件解釋爲一個PHP文件，那麼採用這種方法你就不會受到傷害，只需很少的頭痛和很簡單的實現。

Answer 3

我認爲，如果你不檢查上傳的文件類型，這可能是危險的，例如， 「黑客」上傳一個php文件，刪除所有的httpdocs文件，或者人們可以上傳到許多或大文件。

Answer 4

只有讓用戶上傳任何他們想要的東西時，它纔是危險的。只允許你決定是安全的，你不需要阻止任何東西。

Answer 5

檢查正在上傳的文件是否具有良性擴展名（.gif，.mp3等） - 並垃圾其他內容。對於額外的sekrit保護，將文件的原始名稱捕獲到數據庫中（以備將來參考），然後對文件名進行加密（並將其保存）。這樣，上傳者就無法通過文件名找到上傳的內容。