Gültigkeit von Funktionen für den Dateiupload

[ChrisB]

Hi,

ein Punkt, den du bisher garantiert übersehen hast, weil du ja so damit beschäftigt bist zu geifern und dich vergeblich bemühst, hinsichtlich deiner Unsinnsaussage “truth by repetition” zu erreichen:

Denn sonst hättest Du ja wenignstens einmal versucht, einen Tiefenbeweis zu liefern, also zu zeigen, an welcher Stelle im Quelltext $_FILES und seine Elemente [tmp_name], [size] und [error] unsicher sind.

Dazu braucht man gar nicht besonders in die Tiefe gehen, sondern nur mal hypothetisch den Fall betrachten, dass du nicht nur ein Script schreibst, welches vollkommen deiner Kontrolle unterliegt - sondern eines, das sich in eine andere Umgebung einfügt, sagen wir mal beispielsweise ein Plugin für eine verbreitetes System wie WordPress o.ä.

Da kannst du dir die „Sicherheit“ deiner Einträge in $_FILES nämlich schlicht und einfach in die Haare schmieren (sofern du sie dir im Verlaufe dieses Threads nicht schon alle ausgerupft hast) - weil du zu dem Zeitpunkt, wo dein Code letztendlich ausgeführt wird, gar nicht sagen kannst, welche anderen, nicht von dir stammenden Code-Teile den Inhalt von $_FILES nicht vielleicht schon *vorher* manipuliert haben:

$_FILES['foo']['tempname'] = 'Tom_erzaehlt_gerne_Quark.txt';  
$_FILES['foo']['size'] = 4711;  
$_FILES['foo']['error'] = UPLOAD_ERR_TOM_TALKS_NONSENSE;

Wie Sven gerade auch noch mal bekräftigt hat, führt move_uploaded_file einige Prüfungen durch, um sicherzustellen, dass die Datei, die verschoben werden soll, auch tatsächlich aus einem gerade vor Scriptstart durchgeführten Upload stammt.

Und jetzt erkläre du, oh Weisheit mit Löffeln gefressen Habender, uns doch bitte mal, wie du das im geschilderten, in der Praxis wohl durchaus plausiblen Szenario allein unter Nutzung des gerade eben wie gezeigt manipulierten Arrays $_FILES machst, ohne das „obsolete“ move_uploaded_file zu benuzten …?

MfG ChrisB