Sicherheit beim Upload

[Christian Kruse]

Moin Sven,

Ich ergänze da mal den Bugfix:

Merci ;-)

Aber dadurch wird allerdings move_uploaded_file() natürlich nicht obsolet. Sie hat halt nur andere Schwächen als die obige Methode und ihre Variationen (Race condition vs. Manipulierbarkeit, um ein Beispiel zu nennen).

Insbesondere verlangt DIESE Methode dort RAM-Speicher für die gesamte Datei am Stück. Und sie kopiert eben in jedem Fall. Mit anderen Worten: Diese Strategie ist ungeeignet für sehr große Dateien, während bei kleinen Dateien in dieser Hinsicht kein großer Unterschied zu bemerken ist.

Ich schrub ja. Sie hat dafür andere Schwächen. Man könnte natürlich noch umstellen auf erst rename() versuchen, dann bis zu einem gewissen Threshold file_put_contents(file_get_contents()) und darüber blockweises lesen/schreiben, aber auch da gibt es wieder andere Schwächen.

Vorteil von CK-Copy-Methode: Überschreibt nicht die bereits existierende Datei gleichen Namens im Zielverzeichnis. Wobei DAS ja eigentlich kein Thema ist:

$fd = fopen($fname,"x");
fclose($fd);
move_uploaded_file($_FILES['myfile']['tmp_name'], $fname);

>   
> [x] done.  
  
Ich zitiere dich mal: dadurch, dass move\_uploaded\_files() die Datei zuerst löscht, kann es zu einer Race condition kommen, die dafür sorgt, das zwei Prozesse move\_uploaded\_files() auf die gleiche Zieldatei anwenden.  
  

> Ausgleich für Svens muf-Methode - FTW! ;)  
  
Naja, das war dann aber ein Abseits-Tor ;-)  
  
LG,  
 CK  

-- 
<http://ck.kennt-wayne.de/>