6

Estava lendo a documentação do umask e me deparei com isto:

When PHP is being used as a server module, the umask is restored when each request is finished.

Traduzindo: Quando o PHP esta sendo usado em um modulo de servidor o umask é restaurado quando a requisição termina

Gostaria de saber se isto do umask ser restaurado ocorre em qualquer módulo de servidor, como:

Ou se é necessário alguma configuração ou flag para que o módulo entenda que deve restaurar o umask quando terminar a requisição?

Também gostaria de saber quando e como usa-lo, por exemplo fico imaginando, para uma pasta com uploads do cliente seria interessante limitar as permissões, no entanto noto que algumas pessoas usam umask e outras não, no momento de um upload, como isto funciona e qual a necessidade técnica e/ou de segurança relacionada a isto?

No momento que estiver movendo um arquivo grande de uma pasta como a /tmp usando move_uploaded_file para uma outra pasta ao usar umask até que a requisição termine de processar a pasta pode estar insegura?

1 Resposta 1

6

Antes de entender o umask, você deve entender as permissões do filesystem dos sistemas *nix, algumas respostas nos posts aqui podem ajudar:

Quais são os riscos de usar permissão 777?

Permissão negada ao mover arquivo com move_upload_file em servidor Linux

Da mesma forma, o umask é um conceito que faz sentido em sistemas *nix, é uma camada de compatibilidade do PHP que usa recursos já existentes do filesystem (como várias outras libs o são, umas para DB, outras para requisições Web, etc) que independe do servidor de páginas.

Atenção: quando se escreve um número em PHP (e algumas outras linguagens) prefixado por 0, este é um número OCTAL e não decimal. Permissões *nix são octais por natureza (três bits por dígito).

Pra que serve?

O nome de certa forma já diz: User file creation Mask. Ele é uma máscara que é aplicada em cima das permissões de arquivo.

Ele basicamente retira privilégios do processo em execução, negando-os através de uma máscara de bits.

O PHP tem como padrão o umask o valor 022, e isso pode ser "afrouxado" se você diminuir este valor.


Como funciona?

Exemplo do próprio manual do PHP:

original 0666 rw-.rw-.rw-
umask    0022 ---.-w-.-w-
final    0644 rw-.r--.r--

Vendo em binário pra facilitar:

original 000 110 110 110 rw-.rw-.rw-
umask    000 000 010 010 ---.-w-.-w-
final    000 110 100 100 rw-.r--.r--

Ou seja, o umask negou os bits "2" tanto do other quanto do group.

Na prática, como o padrão de criação de arquivos no filesystem é 0666 e de diretórios 0777, o padrão 022 do umask do PHP acaba definindo isto como padrão:

  • Arquivos criados como 0644;

  • Diretórios criados como 0755.

Vale notar que o umask em si já é "mascarado", ele recebe um or com 0777 antes de ser aplicado, então se fizer umask( 01771 ) valerá na verdade como se tivesse feito umask ( 0771 ) apenas.

Tem um detalhe importante quando usamos o umask, ele retorna o valor atual da máscara, independente de você estar criando uma nova ou só consultando, o que nos leva ao próximo ponto...


O estado do umask ao fim do processo:

No manual temos isto:

Quando o PHP está sendo usado como um módulo de servidor, o umask é restaurado ao final de cada requisição.

Temos que lembrar que quando você roda o PHP como CGI, tem vários processos sendo criados e liberados ao final, e quando roda como módulo, é um "processão" contínuo. Então o que importa não é a "lista" de servidores de páginas usadas, e sim a forma como o PHP é executado para determinar se o umask é resetado no final automaticamente ou não.

Resumo: como os casos com que você pode contar com o reset do umask são muito específicos, e como você não deve depender do estado de um script para a sessão toda, armazene o retorno do primeiro umask que fizer e resete sempre o umask ao estado padrão no final. Melhor ainda? Não mexa, se não tiver uma razão real para isto. Defina como deve ser na configuração do servidor, e deixe. É uma opção que pode dar muita dor de cabeça se não tiver domínio sobre permisssões *nix, e se tiver, você provavelmente nem precisa desse aviso aqui.


Manual

http://php.net/manual/pt_BR/function.umask.php

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .