当输入有附加扩展时利用fopen

Question

科学。

说我有下面的代码：

<?php 
$filename = $_GET['filename'] . '.csv'; 
$handle = @fopen($filename); 

我们知道，空字节漏洞早已不复存在，但有可能得到解决的.csv上述追加，为了读取一个文件另一个扩展？非常有创造力的灵魂存在。

正在读取远程文件，文件名= http://example.com/some.csv（.csv自动附加）。

Answer 1

如果查询http://example.com/some.pdf?csv，fopen会尽量收集pdf文件...

而是使用正则表达式来验证$_GET（你应该总是验证您输入）：

/(\.csv)$/g会帮助你验证扩展名是否为.csv