PHP文件上傳安全指南

在處理PHP文件上傳時，確保安全是非常重要的。以下是一些關鍵的安全指南，可以幫助你防止潛在的安全風險：

1. 檢查文件類型和大小

在允許文件上傳之前，務必驗證文件的MIME類型和大小。這可以防止惡意用戶上傳非法文件類型（如JavaScript或PHP文件）或過大的文件，從而消耗服務器資源或執行惡意代碼。

$allowedTypes = ['image/jpeg', 'image/png', 'application/pdf'];
$maxFileSize = 10 * 1024 * 1024; // 10MB

$fileType = mime_content_type($_FILES['file']['tmp_name']);
if (!in_array($fileType, $allowedTypes)) {
    die('Invalid file type.');
}

if ($_FILES['file']['size'] > $maxFileSize) {
    die('File is too large.');
}

2. 使用唯一的文件名

為了避免文件名沖突和潛在的攻擊，應該為上傳的文件生成一個唯一的文件名。可以使用uniqid()函數結合時間戳來生成唯一的文件名。

$uploadDir = 'uploads/';
$fileName = uniqid('', true) . '_' . time();
$filePath = $uploadDir . $fileName;

3. 移動上傳的文件

不要直接將上傳的文件保存到原始上傳目錄，而是將其移動到一個單獨的目錄。這樣可以防止上傳的文件被直接訪問或刪除。

if (move_uploaded_file($_FILES['file']['tmp_name'], $filePath)) {
    echo 'File uploaded successfully.';
} else {
    echo 'Failed to move uploaded file.';
}

4. 禁用文件執行

確保上傳的文件不能被執行。可以通過修改文件的權限來實現這一點。

chmod($filePath, 0644); // 只讀權限

5. 使用CSRF保護

為了防止跨站請求偽造（CSRF）攻擊，應該在表單中添加一個CSRF令牌。

session_start();
if (empty($_SESSION['csrf_token'])) {
    $_SESSION['csrf_token'] = bin2hex(random_bytes(32));
}

$csrfToken = $_SESSION['csrf_token'];

在表單中添加隱藏字段：

<form method="post" action="upload.php" enctype="multipart/form-data">
    <input type="hidden" name="csrf_token" value="<?php echo $csrfToken; ?>">
    <input type="file" name="file">
    <button type="submit">Upload</button>
</form>

在處理上傳時驗證CSRF令牌：

if ($_POST['csrf_token'] !== $_SESSION['csrf_token']) {
    die('CSRF token validation failed.');
}

6. 限制上傳文件的數量

為了防止惡意用戶通過上傳大量文件來攻擊服務器，可以限制允許上傳的文件數量。

$maxFiles = 5;
$fileCount = count($_FILES['file']['name']);
if ($fileCount > $maxFiles) {
    die('You can only upload up to ' . $maxFiles . ' files.');
}

7. 日志記錄和監控

記錄所有上傳的文件和操作，以便在出現問題時進行審計和監控。

error_log('File uploaded: ' . $filePath);

8. 定期更新和維護

定期更新你的PHP環境和軟件，以確保你使用的是最新的安全補丁和功能。

通過遵循這些安全指南，你可以大大降低PHP文件上傳過程中的安全風險。