Content-Typeがサーバーに当たる前に操作されているかどうかをチェックする方法

Question

-----------------------------28762240629868 
Content-Disposition: form-data; name="file"; filename="1.jpg" 
Content-Type: text/html 

ÿØÿà 
.... 

誰かが故意にContent-Typeをimage/jpegからtext/htmlに変更した場合、サーバー側でそれを検出する方法はありますか？

Answer 1

クライアントが操作されたコンテンツタイプのファイルを送信する可能性があります。着信添付ファイルが常にイメージになることを期待する場合は、以下の機能を使用して画像の高さと幅を確認してください。それがFALSEを返すならば、それはイメージではありません。

imagesx($img); 

http://php.net/manual/en/function.imagesx.php

imagesy($img); 

http://php.net/manual/en/function.imagesy.php

重要：

安全上の理由から、わからない場合は、WebページのURLから添付ファイルをレンダリングまたは実行しないでください。ちょうど常にイメージを強制的にダウンロードする。ヘッダーを送信して強制的にダウンロードするようにしてください。ユーザーが.EXEファイルをアップロードすることができた場合でも、ブラウザで実行することはできません。