Skip to main content
4 de 4
adicionou 160 caracteres ao conteúdo

É importante verificar o mimetype do arquivo, pois existe um tipo de ataque em que vc envia um arquivo php com extensão jpg e consegue executa-lo no servidor. Por isso NÃO BASTA verificar a string do nome do arquivo conforme as outras respostas que colocaram aqui.

Para isto utilize a classe finfo.

<?php

$finfo = new finfo(FILEINFO_MIME_TYPE);
if ( array_search(
    $finfo->file($_FILES['teste']['tmp_name']),
    array(
        'jpg' => 'image/jpeg',
        'png' => 'image/png',
        'gif' => 'image/gif',
    ), true) == true) {
    mysql_query("UPDATE usuarios SET img='$img' WHERE id='$id'") or die(mysql_error());
    echo "<script language='javascript' type='text/javascript'>alert('Imagem de perfil atualizada com sucesso');</script>";

}

No HTML é preciso modificar seu input type para file. Exemplo:

<form enctype="multipart/form-data" method="POST" action="file.php">
<input type="file" name="teste">
<input type="submit">
</form>

Fonte do trecho do código: http://php.net/manual/en/features.file-upload.php