图片上传目录安全

Question

我有一个php脚本，上传图片到服务器上的一个目录。但是我看到一些评论提到图像不应该上传到根目录以达到安全考虑。我不确定如果我上传到目前正在上传的目录中可能会出现的安全漏洞。这里是图像存储的路径。的htdocs /图像/ filenames.jpg。

请以安全的方式告知我以何种方式存储图像。

Answer 1

关于图片上传的安全问题已经有很多话题，但首先应该做的是目录644的许可。接下来，需要注意名称，如注释中所建议的，时间戳是相当好的方法，但它必须与一些随机生成的值（或使用包括毫秒的时间戳）结合使用，但是如果您需要将图像有意义的名称，您必须清理用户提供的名称，过滤掉空字节，目录遍历和其他危险字符（我将白名单和限制图像名称的长度，或随机生成一个字符串）。

而不是把图像放在web根目录之外，我更喜欢使用.htaccess和php_flag engine off选项来关闭目录中的任何php执行。除了使用PHP脚本来提供图片（这是一种相当安全的方法，如果实施正确的话），将图片放在网页根目录之外也会使其无法直接访问，因此您将无法在<img>标记中使用它们。

最后，您要检查是否正在上传有效图片，通常使用GD图书馆，特别是getimagesize，只有在上传有效图片时才会返回图片大小。

同时检查此topic上的图像上传的安全性。