Datei-Upload sicher?

[michl1710]

Moin zusammen,

ich möchte meinen Besuchern gerne die Möglichkeit geben eigene Bilder (gif/jpg) hochzuladen. Kann ich irgendwie prüfen, ob mir jemand Müll (.exe ...) hochladen will, BEVOR die Datei auf dem Server landet (auch noch vor'm temporären Verzeichnis)?

Danke!

Michl

[derHund]

nein, kannst du nicht - wozu auch? was passiert denn mit ner exe auf ner unix-kiste? edit: die noch dazu als img angezeigt werden soll?

[jahlives]

BEVOR die Datei auf dem Server landet (auch noch vor'm temporären Verzeichnis)?

Kurz und bündig: Nein
Du könntest beim Form eine JS Prüfung machen und wenn diese eine verbotene Dateiendung entdeckt, dann wird das Form nicht abgeschickt --> Problem JS könnte deaktiviert sein.
Eine zuverlässige Prüfung kannst du NUR serverseitig machen, sobald das Bild komplett hochgeladen wurde.
Zum Prüfen würde ich dir dann eine Fkt wie getimagesize() empfehlen, die dir die Grössen des Bildes zurückgeben sollte. Wenn die nix zurückgibt oder false dann hast du es wohl mit einem verbotenen File zu tun.

Gruss

tobi