nicht angemeldet
Hi!
WEnn man die Vor- und Nachteile unterschiedlicher Speichertechniken vergleicht, sollte man doch auch ihre Nebenwirkungen erwähnen, oder? Und für die Vergangenheit planen und entwickeln wir doch nur noch selten (ich lebe davon von zu Zeit noch). Da sollte man dann also die 1.1-Methoden nicht unterschlagen...
Und wo ist nun der Zwang, die genannten Features zu implementieren?
*_uploaded_file() stellt überhaupt nicht fest, ob das File seit dem Upload verändert wurde, sondern nur, ob es hochgeladen wurde. Und das ist nutzlos. Das kann man auch mit $_FILES feststellen.
Gut, es bringt also mit $_FILES[...]['tmp_name'] keinen Vorteil, aber auch keinen Nachteil, wenn man das Upload-Directory nicht beeinflussen kann.
Wichtig ist, dass das File am Temporärort nicht erreichbar und nicht veränderbar ist durch Dritte.
Und für den Fall, dass man den Temporärort nicht beeinflussen kann, was sind dann gescheite Maßnahmen, die die Sicherheit gegen Manipulation wärend des Upload- und Verarbeitungsprozesses erhöhen? Sollte man es erstmal so schnell wie möglich selbst in ein Quarantäne-Verzeichnis verschieben? Oder ist es gar nicht unbedingt erforderlich, weil man ja sowieso noch eine Plausibilitätskontrolle nachschiebt?
Lo!