Wiki: Dateiupload mit PHP

[Julius]

Hallo TS,

Sticky-Bit sollte bei TMP-Verzeichnissen gesetzt sein. Dann kann nur der Handleinhaber die Datei löschen oder umbenennen. Es betrifft nämlich die Directory-Ebene.

Gut zu wissen, das hatte ich falsch im Kopf. Ergibt ja auch Sinn so.

Nur der User darf ändern ist ja der Fall. Aber der Script-User hieß beim Apache-PHP-Modul immer gleich für alle Shared User (z.B. www-data).

Ah, das ist dann wieder die Sache, wie PHP mit dem Webserver verknüpft wurde. Bei meinem Webhoster (Uberspace) hat jeder Account seinen eigenen PHP-Prozess, daher hatte ich das nicht auf dem Schirm. Hmm, das wird langsam echt haarig, aber irgendwie kriege ich das auch noch in dem Artikel erklärt.

Erst ab Apache 2.4 ist es unter Solaris-OS (habe immer noch nicht ausprobiert, wo es noch funktioniert) möglich, einen VHostUserzu setzen. Da sind wir der Sicherheit dann schon ein Stück näher.

... dann ist es aufgrund der Berechtigungen und des Sticky-Bits tatsächlich so, dass die Datei im /tmp-Verzeichnis nicht manipuliert werden kann, richtig?

Aber auch Du solltest nicht übersehen, dass meine Funktion save_uploaded_file() überhaupt nicht diesen Themenbereich im Hauptaugenmerk hatte, sondern die Möglichkeit der sauberen Zieladressierung.

Keine Sorge, das ist nicht passiert. Das kann ich auseinander halten. Die hier so nebenbei aufgekommenen Themen hatte ich eh schon auf meiner Noch-zu-klären-Liste stehen, insofern ist es gut, dass sie hier auf den Tisch kamen. Nebenbei habe ich auch noch verstanden, wie genau die von dir vorgestellte Funktion sich von move_uploaded_file unterscheidet, das war mir vorher nicht klar.

Gruß
Julius