當輸入有附加擴展時利用fopen

Question

科學。

說我有下面的代碼：

<?php 
$filename = $_GET['filename'] . '.csv'; 
$handle = @fopen($filename); 

我們知道，空字節漏洞早已不復存在，但有可能得到解決的.csv上述追加，爲了讀取一個文件另一個擴展？非常有創造力的靈魂存在。

正在讀取遠程文件，文件名= http://example.com/some.csv（.csv自動附加）。

Answer 1

如果查詢http://example.com/some.pdf?csv，fopen會盡量收集pdf文件...

而是使用正則表達式來驗證$_GET（你應該總是驗證您輸入）：

/(\.csv)$/g會幫助你驗證擴展名是否爲.csv