Lista de verificación de implementación de validación de archivos en formularios web

La implementación de la funcionalidad de carga de archivos implica numerosas consideraciones de seguridad y muchas trampas fáciles de pasar por alto. Este artículo explica una lista de verificación para implementar cargas de archivos que funcionan de manera segura en entornos de producción.

Descripción general de la lista de verificación

1. Validación de tamaño de archivo

• <input type="checkbox" disabled> El límite de carga se define en bytes (sin confusión entre MB y MiB)
• <input type="checkbox" disabled> Para PHP, tanto <code>upload_max_filesize</code> como <code>post_max_size</code> están configurados
• <input type="checkbox" disabled> Para Nginx, <code>client_max_body_size</code> incluye una asignación para multipart overhead
• <input type="checkbox" disabled> Hay manejo de errores para cuando <code>$_FILES['file']['error']</code> es UPLOAD_ERR_INI_SIZE / UPLOAD_ERR_FORM_SIZE
• <input type="checkbox" disabled> Hay una verificación de tamaño mínimo de archivo (excluyendo archivos de 0 bytes)

 $maxBytes) {
        throw new \RuntimeException(sprintf(
            'ファイルサイズ（%s）が上限（%s）を超えています',
            number_format($file['size']),
            number_format($maxBytes)
        ));
    }
}

2. Validación de formato de archivo (tipo MIME)

• <input type="checkbox" disabled> No se confía en el <code>Content-Type</code> (<code>$_FILES['file']['type']</code>) enviado desde el cliente
• <input type="checkbox" disabled> La validación de tipo MIME del lado del servidor se realiza mediante <code>finfo</code> / <code>mime_content_type()</code>
• <input type="checkbox" disabled> Se define una lista blanca de tipos MIME permitidos

file($file['tmp_name']);

if (!in_array($mimeType, $allowed, true)) {
    throw new \RuntimeException('許可されていないファイル形式です: ' . $mimeType);
}

3. Validación de extensión de archivo

• <input type="checkbox" disabled> Se define una lista blanca de extensiones de archivo (lista blanca, no lista negra)
• <input type="checkbox" disabled> Se detectan y rechazan las extensiones dobles (por ejemplo, <code>shell.php.jpg</code>)
• <input type="checkbox" disabled> Se aplica normalización de mayúsculas/minúsculas durante la validación (tratando <code>.JPG</code> y <code>.jpg</code> como iguales)

 2) {
    throw new \RuntimeException('不正なファイル名です');
}

$ext = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed, true)) {
    throw new \RuntimeException('許可されていない拡張子です: ' . $ext);
}

4. Validación de byte mágico (firma de archivo)

• <input type="checkbox" disabled> Los bytes mágicos se validan para archivos críticos (por ejemplo, excluyendo archivos ejecutables)