7

Estou fazendo um sistema onde posso receber um upload de imagens.

Para fazer a verificação no servidor se o tipo de arquivo é imagem, eu pensei nesse código:

if (strpos($upload->getClientMimeType(), 'image') !== 0) {

    throw new UploadException(
        sprintf('Extensão de arquivo %s é inválida', $upload->getClientOriginalExtension())
    );
}

Ou seja, verificando se o mime do arquivo começa com "image", para saber se é uma imagem ou não, já que os mimes de imagens costuma ser image/png, image/jpeg, image/gif...

Porém fiquei me questionando se isso realmente seria seguro, além de ter a própria preocupação se não existe alguma outro arquivo do tipo imagem que não tivesse o mime prefixado por image.

Gostaria de saber:

  • O exemplo demonstrado para verificação de imagem é o suficiente para manter a segurança do upload ou não?

Quais são as melhores formas de verificar uploads de imagem em PHP?

Nota: Atualmente estou utilizando o framework , mas não me importaria de receber boas sugestões utilizando apenas php puro.

0

2 Respostas 2

7

Ao meu ver tecnicamente não tem nenhum problema em usar mimetypes, na verdade é bem mais garantido com eles do que extensões de arquivos (coisa que muita gente faz infelizmente), algo que expliquei aqui como fazer só com PHP

O único problema que vejo é a falta de / após image em:

if (strpos($upload->getClientMimeType(), 'image') !== 0) {

O que poderia permitir entrar um documento que tivesse um mimetype assim imagexyz/foobar, isso não é bem uma falha de segurança, pois eu nem sei realmente se pode causar algo, já que creio que não existam outros mimetypes que comecem com image***/, por garantia faça:

if (strpos($upload->getClientMimeType(), 'image/') !== 0) {

Claro que isso irá permitir subirem:

  • ícones (image/icon, image/x-icon, image/vnd.microsoft.icon)
  • svg (image/svg+xml)
  • Photoshop (image/vnd.adobe.photoshop)

Dentre outros.

Isso é uma escolha sua, então se quer limitar aos formatos jpg, gif e png faça uso do in_array:

$formatospermitidos = array( 'image/jpeg', 'image/gif', 'image/png' );

if (!in_array($upload->getClientMimeType(), $formatospermitidos)) {
6
  • +1 da hora a sua resposta. Só estou preocupado com o mime do AI (Abode Ilustrator), mas aí é outro problema. Commented 20/01/2017 às 12:48
  • 1
    Sim, tem uns programadores cabeções que usam ainda extensões de arquivos pra fazer verificação de upload, ou então mete uma validação em Javascript e acha que tá de bom tamanho (eu já fui um deles :p) Commented 20/01/2017 às 12:49
  • 1
    @WallaceMaxters eu prefiro sempre limitar com o in_array.
    – Syzoth
    Commented 20/01/2017 às 12:50
  • Mas é isso que vou ter que fazer mesmo. Por que, no caso específico, vou precisar de colocar pdf também. Mas isso é off-topic, não precisa modificar sua resposta, já que o contexto é somente imagens. Commented 20/01/2017 às 12:52
  • 1
    E onde está a garantia de ser seguro? É como fazer ou é se é seguro @WallaceMaxters?
    – Jorge B.
    Commented 20/01/2017 às 13:50
6

Como já foi mencionado as melhores opções pelo @Guilherme Nascimento, faço um adendo à resposta dele:

No PHP há a função exif_imagetype no qual ela determina o tipo da imagem através da assinatura nos primeiros bytes do arquivo, analisando de forma mais profunda, com base em constantes pré-definidas, sendo elas:

Value   Constant
1   IMAGETYPE_GIF
2   IMAGETYPE_JPEG
3   IMAGETYPE_PNG
4   IMAGETYPE_SWF
5   IMAGETYPE_PSD
6   IMAGETYPE_BMP
7   IMAGETYPE_TIFF_II (intel byte order)
8   IMAGETYPE_TIFF_MM (motorola byte order)
9   IMAGETYPE_JPC
10  IMAGETYPE_JP2
11  IMAGETYPE_JPX
12  IMAGETYPE_JB2
13  IMAGETYPE_SWC
14  IMAGETYPE_IFF
15  IMAGETYPE_WBMP
16  IMAGETYPE_XBM
17  IMAGETYPE_ICO

Um exemplo de seu uso:

if (exif_imagetype('image.gif') != IMAGETYPE_GIF) {
    echo 'O arquivo não é .gif';
}

PS¹: Conforme lembrado pelo Guilherme, as funções exif_* geralmente não estão habilitadas por padrão.

PS²: Dependendo de como será tratada essas imagens que estão sendo carregadas, aconselho que informa de maneira explícita quais os tipos suportados para não ocorrer de você estar tratando uma simples imagem .gif e receber um .svg, por exemplo.

4
  • 3
    As funções exif_* raramente são habilitadas por padrão (requer extension=exif.so, extension=php_exif.dll em windows), ainda mais em hospedagens shared, creio eu. Ainda sim é uma boa alternativa.
    – Syzoth
    Commented 20/01/2017 às 13:04
  • Sim, bom lembrar disso. Commented 20/01/2017 às 13:06
  • +1.. Não conhecia essa função. Obrigado Commented 20/01/2017 às 13:07
  • 1
    @GuilhermeNascimento meu caso a hospedagem é shared :\ Commented 20/01/2017 às 13:13

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .