Lista de verificación de implementación de validación de archivos en formularios web

La implementación de la funcionalidad de carga de archivos implica numerosas consideraciones de seguridad y muchas trampas fáciles de pasar por alto. Este artículo explica una lista de verificación para implementar cargas de archivos que funcionan de manera segura en entornos de producción.

Descripción general de la lista de verificación

1. Validación de tamaño de archivo

• El límite de carga se define en bytes (sin confusión entre MB y MiB)
• Para PHP, tanto upload_max_filesize como post_max_size están configurados
• Para Nginx, client_max_body_size incluye una asignación para multipart overhead
• Hay manejo de errores para cuando $_FILES['file']['error'] es UPLOAD_ERR_INI_SIZE / UPLOAD_ERR_FORM_SIZE
• Hay una verificación de tamaño mínimo de archivo (excluyendo archivos de 0 bytes)

 $maxBytes) {
        throw new \RuntimeException(sprintf(
            'ファイルサイズ（%s）が上限（%s）を超えています',
            number_format($file['size']),
            number_format($maxBytes)
        ));
    }
}

2. Validación de formato de archivo (tipo MIME)

• No se confía en el Content-Type ($_FILES['file']['type']) enviado desde el cliente
• La validación de tipo MIME del lado del servidor se realiza mediante finfo / mime_content_type()
• Se define una lista blanca de tipos MIME permitidos

file($file['tmp_name']);

if (!in_array($mimeType, $allowed, true)) {
    throw new \RuntimeException('許可されていないファイル形式です: ' . $mimeType);
}

3. Validación de extensión de archivo

• Se define una lista blanca de extensiones de archivo (lista blanca, no lista negra)
• Se detectan y rechazan las extensiones dobles (por ejemplo, shell.php.jpg)
• Se aplica normalización de mayúsculas/minúsculas durante la validación (tratando .JPG y .jpg como iguales)

 2) {
    throw new \RuntimeException('不正なファイル名です');
}

$ext = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed, true)) {
    throw new \RuntimeException('許可されていない拡張子です: ' . $ext);
}

4. Validación de byte mágico (firma de archivo)

• Los bytes mágicos se validan para archivos críticos (por ejemplo, excluyendo archivos ejecutables)