PHP中的move_uploaded_file函数为什么很重要？

Question

PHP中的move_uploaded_file函数为什么很重要？

phpfile-upload

4

我无法想象为什么我要使用这个函数而不是简单的重命名。

手册写道：

move_uploaded_file 此函数检查 filename 指定的文件是否是有效的上传文件（也就是说，它是通过PHP的HTTP POST上传机制上传的）。如果文件有效，则会将其移动到 destination 指定的文件名中。

如果有任何可能使上传文件的任何内容暴露给用户甚至同一系统上的其他用户的情况，这种检查尤其重要。

能否请您举个例子说明为什么这么重要？

- inf3rno

可能是重复的问题：php - copy，rename和move_uploaded_file之间的区别 - Lucas

3个回答

-2

move_uploaded_file 实际上会将您上传的文件从临时目录移动到服务器上的永久位置。是的，这很重要，因为您必须将文件移动到指定的服务器位置，对吧？

在这里检查 move_uploaded_file 的代码片段示例： http://www.developphp.com/view_lesson.php?v=449

- Kalpesh

我也可以使用常规的PHP文件函数来移动它。 - inf3rno

move_uploaded_file()确保安全，只允许移动通过PHP上传的文件。因此它是专门用于移动已上传文件的功能。 - Kalpesh

-2

您不应该使用rename函数，因为rename函数用于将现有文件重命名为新名称。而像move_uploaded_file和copy这样的函数实际上是用于将文件从tmp目录上传到目标目录。

rename()应该用于移动普通文件，而不是通过表单上传的文件。原因是有一个特殊的函数叫做move_uploaded_file()，它会检查文件是否已经被上传，然后再移动它 - 这可以防止人们试图入侵您的服务器以使私有文件可见。如果您愿意，您可以通过调用is_uploaded_file()函数来执行此检查。

- chandresh_cool

1

重命名：尝试将旧名称更改为新名称，必要时将其移动到其他目录。如果新名称已存在，则会被覆盖。 - inf3rno

我已经知道上传的函数是推荐的，但是我不明白为什么。 - inf3rno

如果更新后的答案没有给你一个想法，那么你需要重新阅读它 :) - chandresh_cool

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Jon · Accepted Answer

使用常规的文件系统函数可能会创建安全漏洞。如果您在程序中这样做：

rename($source, $destination);

如果攻击者能够控制$source的值，他们就能够重命名（或移动！——rename还可以将文件移动到其他目录）PHP进程可以访问的任何文件。

如果他们还能够影响$destination，或者在文件被移动后以某种方式获得文件内容的访问权限，他们就可以利用这个漏洞来获取您的源代码，至少会泄露身份验证凭据。而且很容易想象这种情况发生：如果您接受用户上传并使它们通过URL可访问，这个功能已经内置在您的应用程序中。

总之，这是一个必须考虑的安全问题；_uploaded_file函数的存在是为了帮助您陷入成功的深渊。

更新（从评论中提取的材料）：

现代文件上传处理（通过$_FILES）已经基本上不需要使用move_uploaded_file。但不要忘记：

从技术上讲，不必要的措施仍然是一个好主意：我们正在谈论安全，为什么不再多一份保险呢？
move_uploaded_files 是在 $_FILES 甚至不存在的时候引入的，而广泛使用 register_globals 而不是童话故事。