是否可以在上传文件夹中阻止php脚本？

Question

我正在经历我的第一个形式在PHP上传图像。

我在网上看过一些文章，说明它可能是危险的，所以有办法阻止指定文件夹上的脚本？用.htaccess或php .ini指令？

Answer 1

最好的方法是确保您的上传目录不在您的webroot中。只要网络服务器具有读/写访问权限，您就可以正常使用 - 不用担心可执行文件上传。这被讨论了here on stackoverflow。

Answer 2

最好的办法是在上传时验证文件的扩展名。如果它不是jpg/png/gif/etc，请关闭它。只要你的网络服务器没有错误地将任何文件解释为一个PHP文件，那么采用这种方法你就不会受到伤害，只需很少的头痛和很简单的实现。

Answer 3

我认为，如果你不检查上传的文件类型，这可能是危险的，例如， “黑客”上传一个php文件，删除所有的httpdocs文件，或者人们可以上传到许多或大文件。

Answer 4

只有让用户上传任何他们想要的东西时，它才是危险的。只允许你决定是安全的，你不需要阻止任何东西。

Answer 5

检查正在上传的文件是否具有良性扩展名（.gif，.mp3等） - 并垃圾其他内容。对于额外的sekrit保护，将文件的原始名称捕获到数据库中（以备将来参考），然后对文件名进行加密（并将其保存）。这样，上传者就无法通过文件名找到上传的内容。