Checkliste zur Implementierung der Dateivalidierung in Webformularen

Die Implementierung der Datei-Upload-Funktion ist mit vielen Sicherheitsbedenken verbunden und birgt viele leicht zu übersehende Fallstricke. Dieser Artikel erklärt eine Checkliste zur Implementierung von Datei-Uploads, die sicher in einer Produktionsumgebung funktionieren.

Checklisten-Übersicht

1. Validierung der Dateigröße

• <input type="checkbox" disabled> Das Upload-Limit ist in Bytes definiert (ohne Verwechslung von MB und MiB)
• <input type="checkbox" disabled> Im Fall von PHP werden sowohl <code>upload_max_filesize</code> als auch <code>post_max_size</code> konfiguriert
• <input type="checkbox" disabled> Im Fall von Nginx wird der Multipart-Overhead zu <code>client_max_body_size</code> addiert
• <input type="checkbox" disabled> Es gibt Fehlerbehandlung, wenn <code>$_FILES['file']['error']</code> UPLOAD_ERR_INI_SIZE / UPLOAD_ERR_FORM_SIZE ist
• <input type="checkbox" disabled> Prüft minimale Dateigröße（schließt 0-Byte-Dateien aus）

 $maxBytes) {
        throw new \RuntimeException(sprintf(
            'ファイルサイズ（%s）が上限（%s）を超えています',
            number_format($file['size']),
            number_format($maxBytes)
        ));
    }
}

2. Validierung des Dateiformats (MIME-Typ)

• <input type="checkbox" disabled> Der vom Client gesendete <code>Content-Type</code> (<code>$_FILES['file']['type']</code>) wird nicht vertraut
• <input type="checkbox" disabled> Es wird serverseitige MIME-Typ-Validierung mit <code>finfo</code> / <code>mime_content_type()</code> durchgeführt
• <input type="checkbox" disabled> Definiert Whitelist zulässiger MIME-Typen

file($file['tmp_name']);

if (!in_array($mimeType, $allowed, true)) {
    throw new \RuntimeException('許可されていないファイル形式です: ' . $mimeType);
}

3. Validierung der Dateierweiterung

• <input type="checkbox" disabled> Definiert Whitelist von Dateierweiterungen（nicht Blacklist）
• <input type="checkbox" disabled> Erkennt und lehnt doppelte Dateierweiterungen ab（<code>shell.php.jpg</code>）
• <input type="checkbox" disabled> Normalisiert und validiert Groß-/Kleinschreibung（<code>.JPG</code> und <code>.jpg</code> werden gleich behandelt）

 2) {
    throw new \RuntimeException('不正なファイル名です');
}

$ext = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed, true)) {
    throw new \RuntimeException('許可されていない拡張子です: ' . $ext);
}

4. Validierung von Magic Byte (Dateisignatur)

• <input type="checkbox" disabled> Magic Bytes bei wichtigen Dateien validieren (ausgenommen ausführbare Dateien usw.)