Самый надежный способ проверить файл загрузки - это изображение

Question

Я хочу проверить мои загружаемые файлы, это изображения или нет. после поиска я нашел два пути, которые, по моему мнению, являются хорошим способом сделать это. первый код:

$whitelist_type = array('image/jpeg', 'image/png','image/gif'); 
$fileinfo = finfo_open(FILEINFO_MIME_TYPE); 

if (!in_array(finfo_file($fileinfo, $file['tmp_name']), $whitelist_type)) { 
$error[] = "Uploaded file is not a valid image"; 
} 

и второй код:

if (!getimagesize($_FILES['photo']['tmp_name'])) { 
$error[] = "Uploaded file is not a valid image"; 
} 

, какой код является более надежным, чтобы проверить, что это приведём изображения и почему? или это лучший способ, чем это? Благодарю.

Answer 1

finfo_* библиотека будет хорошо, но он будет работать с> = 5.3.0 версий,

И getimagesize() функции GD библиотека, которая является возвращение изображения Информация об изображении WxH и size

если изображение недействителен, то getimagesize() показать предупреждение, так лучше используйте для проверки изображения с помощью функции finfo_*,

вы также можете сделать для кода кросс-версии, см. ниже пример кода

<?php 
$file = $_FILES['photo']; 
$whitelist_type = array('image/jpeg', 'image/png','image/gif'); 
$error = null; 
if(function_exists('finfo_open')){ //(PHP >= 5.3.0, PECL fileinfo >= 0.1.0) 
    $fileinfo = finfo_open(FILEINFO_MIME_TYPE); 

    if (!in_array(finfo_file($fileinfo, $file['tmp_name']), $whitelist_type)) { 
     $error[] = "Uploaded file is not a valid image"; 
    } 
}else if(function_exists('mime_content_type')){ //supported (PHP 4 >= 4.3.0, PHP 5) 
    if (!in_array(mime_content_type($file['tmp_name']), $whitelist_type)) { 
     $error[] = "Uploaded file is not a valid image"; 
    } 
}else{ 
    if (!@getimagesize($file['tmp_name'])) { //@ - for hide warning when image not valid 
     $error[] = "Uploaded file is not a valid image"; 
    } 
} 

Answer 2

Почему бы не использовать exif_imagetype:

if (exif_imagetype($file['tmp_name']) != (IMAGETYPE_JPEG || IMAGETYPE_GIF || IMAGETYPE_PNG)) { 
    $error[] = "Uploaded file is not a valid image"; 
} 

Это, вероятно, будет быстрее, чем любой из других. (PHP 4> = 4.3.0, PHP 5)

Answer 3

С точкой зрения безопасности, то может быть лучше преобразованием загруженного файла предполагаемой быть изображение, увидеть, если это удастся, и держать и служить преобразованный результат оттуда.

Вы можете использовать одну из этих функций imagecreatefrom...() из GD library на основе обнаруженного вами типа MIME, например. от $_FILES массива, и/или из exif_imagetype(), finfo_file() и т.д.

Проблема в том, что есть некоторые эксплойты там, претендующих на действительные изображения (а в некоторых случаях являются действительные изображения), но также действительны JavaScript , Flash или другие контейнеры кода, которые могут выполняться браузером клиента при определенных обстоятельствах.

См. Также, например, https://www.defcon.org/images/defcon-15/dc15-presentations/dc-15-schrenk.pdf