Dateiupload, was tut move_uploaded_file() wirklich?

[Tom]

Hello,

Denn das Array $_FILES sollte sicher sein und somit sollte zumindest der Name der Temporärdatei nicht manipuliert werden können, da dieser vom System kommt und das Array nur der jeweiligen Scriptinstanz zur Verfügung steht.

Woher nimmst du diese Sicherheit, bezweifelst aber andere Sicherheitseinrichtungen?

Ja, wenn Du das so sagst. Sollte ich lieber den Superglobalen Arrays auch misstrauen? Naja, Du steckst da wohl tiefer drin. Was ist denn das Problem mit dem Array $_FILES?

Ich sehe kein Problem.

Na, das beruhigt mich doch schon mal.

Ich versuche nur herauszufinden, welche Probleme du mit den beiden Funktionen hast (oder sie (die Probleme) dir auszureden).

Mit welcher Berechtigung? das kommt mir dann so vor, wie "Kernkraftwerke sind sicher".

Und ich sehe da dein typisches Vom-Hundersten-ins-Tausende-Problem

Was ist an der Verfolgung einer Frage bis zur Wurzel auszusetzen?
Wenn Du mir damit bescheinigen willst, dass ich solange nachfrage, bis jegliche Zweifel ausgeräumt sind, dann danke ich Dir dafür.

und hab die Befürchtung, dass dein Artikel am Ende zwar sehr genau ist, aber ihn k(aum )einer mehr bis zum Ende lesen will. Lang wird er eh schon, so dass ich dir sowieso vorschlage, an den Anfang einen Extrakt der wichtigsten Punkte zu stellen.

Das ist eine gute Idee. Das wichtigste zuerst: "Uploads sind böse!".

Ich werde diese Aussage dann aber trotzdem hinterfragen. Schließlich wollen wir doch Updates, nur nicht zu dem Preis eines "GAUs", sondern zu überschaubaren und quantifizierbaren Risiken, nicht relativ, sondern absolut!

Mit dem Sinn der beiden Funktionen hat die Unsicherheit der superglobalen Arrays natürlich nichts zu tun. Nur weil die superglobalen Arrays auch unsicher sein könnten, müssen die Funktionen noch lange keinen Sinn haben.

Wie gesagt, ich denke, es geht weniger um die Kombination *_uploaded_file() und $_FILES... als (erstem) Parameter, sondern wenn man statt $_FILES handgefüllte Variablen nimmt.

Wer nimmt denn handgefüllte Variablen? Dann könnte ich doch gleich Konstanten dafür benutzen, oder?

Liebe Grüße aus dem schönen Oberharz

Tom vom Berg