[SICHERHEIT] php-Code von User verhindern

[EKKi]

Mahlzeit LSpreee,

• per HTTP direkterrecihbar ist (z.B. Bilder, die keine sind)
  Meinst Du einen Dateiupload via Formular mit diesem  enctype="multipart/form-data"?

Reicht es für diesen Fall aus, die Dateiendung zu kontrollieren?

Für welchen Fall? Lass Dir bitte nicht alle Würmer einzeln aus der Nase ziehen, sondern beschreibe doch mal konkret, was Du hast und wovor Du Angst hast ...

Generell kann man allerdings sagen, dass es *IN KEINEM FALL* reicht, die Dateiendung zu kontrollieren - Namen sind Schall und Rauch.

• wenn das Hochgeladene per include() eingebunden wird
  Sagen wir ich include eine meiner php-Dateien, welche die Daten aus der Datenbank per open_file(); (eigene Funktion) ausliest. Problematisch?

Woher sollen das Deine Leser wissen, wenn keiner von denen weiß, was die Funktion open_file() tut?

MfG,
EKKi