PHPファイルアップロードセキュリティ保護：悪意のあるファイルのアップロードを効果的に防止する方法

M66 2025-06-12

PHPデータフィルタリング：悪意のあるファイルのアップロードを防ぎます

近年、ネットワークテクノロジーの開発により、悪意のあるファイルのアップロードがインターネットセキュリティにとって大きな脅威になっています。悪意のあるファイルをアップロードすることにより、攻撃者はWebサイトのファイルのアップロード制限をバイパスすることができ、脆弱性の利用や悪意のあるコードインジェクションなどのセキュリティ問題につながります。 Webサイトのセキュリティを改善するには、PHPコードのアップロードされたファイルを効果的にフィルタリングおよび検証して、悪意のあるファイルのアップロードを効果的に防止する必要があります。

ファイルサフィックスチェック

多くの場合、悪意のあるファイルは一般的なファイルタイプとして送信されるため、アップロードされたファイルのサフィックスをチェックすることは、悪意のあるアップロードを防ぐための最初のステップです。簡単な例コードは次のとおりです。

$ aladextensions = array（ &#39;jpg&#39;、 &#39;jpeg&#39;、 &#39;png&#39;、 &#39;gif&#39;）; //アップロードされたファイルタイプをライセンス$ fileextension = strtolower（pathinfo（$ _ files [&#39;file&#39;] [&#39;name&#39;]、pathinfo_extension））; //ファイルの接尾辞を得るしますif（！in_array（$ fileextension、$ aladextensions））{
    die（ &#39;画像ファイルのアップロードのみがライセンスされています&#39;）;
}

ファイルタイプチェック

接尾辞チェックに加えて、ファイルのMIMEタイプを確認することも同様に重要です。これにより、悪意のあるファイルが正当なファイルに偽装されることができなくなります。 PHPのmime_content_type（）関数を使用して、ファイルのmimeタイプを取得できます。以下は例のコードです。

$ AldocedMimeTypes = array（ &#39;image/jpeg&#39;、 &#39;image/png&#39;、 &#39;image/gif&#39;）; //アップロードされたmimeタイプ$ uploadedfile = $ _files [&#39;file&#39;] [&#39;tmp_name&#39;]; //アップロードされた一時ファイルパスを得る$ uploadmimimetype = mime_content_type（$ uploadedfile）; //アップロードされたmimeタイプを得るするif（！in_array（$ uploadedmimeType、$ aversimmimeTypes））{
    die（ &#39;画像ファイルのアップロードのみがライセンスされています&#39;）;
}

ファイルサイズチェック

ファイルの過度のアップロードがサーバーリソースや帯域幅を占めるのを防ぐために、アップロードされたファイルのサイズを制限する必要があります。 PHPは$ _files ['file']を介してファイルサイズを取得できます。以下は、ファイルサイズを制限する例コードです。

$ maxfilesize = 5 * 1024 * 1024; //アップロードをライセンスされている最大ファイルサイズ（5MB）
$ uploadedFilesize = $ _files [&#39;file&#39;] [&#39;size&#39;]; //アップロードされたファイルのサイズを得るする場合（$ uploadedfilesize> $ maxfilesize）{
    die（ &#39;ファイルサイズが制限を追い越しますえる&#39;）;
}

ファイル名は複製されていません

異なるユーザーがアップロードしたファイル名の重複を避けるために、アップロードされたファイルの名前を変更できます。 phpのuniqid（）関数を使用して一意のファイル名を生成し、ファイルサフィックスと組み合わせて新しいファイル名を形成します。関連する例コードは次のとおりです。

$ uploadedFileName = $ _files [&#39;file&#39;] [&#39;name&#39;]; //アップロードされたファイルの元のファイル名前を得るします$ newFileName = uniqid（）。 &#39;。&#39; 。 $ fileExtension; //新しいしいファイル名前を生成する$ uploadedfilepath = &#39;./uploads/&#39;。 $ NEWFILENAME; //アップロードされたファイルを保存するためにパスを設定するif（move_uploaded_file（$ _ files [&#39;file&#39;] [&#39;tmp_name&#39;]、$ uploadedfilepath））{
    echo &#39;ファイルアップロードに普通に&#39;;
} それ以外 {
    echo &#39;ファイルアップロードfailed&#39;;
}

要約します

要約すると、ファイル接尾辞チェック、MIMEタイプの確認、ファイルサイズの制限、ファイル名の予防を介して、悪意のあるファイルアップロードのリスクを効果的に防ぐことができます。さらに、サーバーソフトウェアを定期的に更新し、既知の脆弱性をパッチすることも、システムセキュリティを確保するための重要なステップです。これらの措置により、Webサイトのセキュリティを保証でき、データとユーザーのプライバシーを保護できます。