Webフォームのファイルバリデーション実装チェックリスト

ファイルアップロード機能の実装は、セキュリティ上の注意点が多く、見落としがちな落とし穴もたくさんあります。この記事では、本番環境で安全に動作するファイルアップロードを実装するためのチェックリストを解説します。

チェックリスト概要

1. ファイルサイズの検証

• <input type="checkbox" disabled> アップロード上限をバイト単位で定義している（MBとMiBの混同なし）
• <input type="checkbox" disabled> PHPの場合、<code>upload_max_filesize</code> と <code>post_max_size</code> の両方を設定している
• <input type="checkbox" disabled> Nginxの場合、<code>client_max_body_size</code> に multipart オーバーヘッド分を加算している
• <input type="checkbox" disabled> <code>$_FILES['file']['error']</code> が UPLOAD_ERR_INI_SIZE / UPLOAD_ERR_FORM_SIZE の場合のエラーハンドリングがある
• <input type="checkbox" disabled> 最小ファイルサイズのチェックがある（0バイトファイルの排除）

 $maxBytes) {
        throw new \RuntimeException(sprintf(
            'ファイルサイズ（%s）が上限（%s）を超えています',
            number_format($file['size']),
            number_format($maxBytes)
        ));
    }
}

2. ファイル形式の検証（MIMEタイプ）

• <input type="checkbox" disabled> クライアントから送られる <code>Content-Type</code>（<code>$_FILES['file']['type']</code>）を信頼していない
• <input type="checkbox" disabled> <code>finfo</code> / <code>mime_content_type()</code> でサーバー側のMIMEタイプ検証を行っている
• <input type="checkbox" disabled> 許可するMIMEタイプのホワイトリストを定義している

file($file['tmp_name']);

if (!in_array($mimeType, $allowed, true)) {
    throw new \RuntimeException('許可されていないファイル形式です: ' . $mimeType);
}

3. ファイル拡張子の検証

• <input type="checkbox" disabled> 拡張子のホワイトリストを定義している（ブラックリストではなくホワイトリスト）
• <input type="checkbox" disabled> ダブル拡張子（<code>shell.php.jpg</code>）を検出・拒否している
• <input type="checkbox" disabled> 大文字小文字を正規化して検証している（<code>.JPG</code> と <code>.jpg</code> を同一視）

 2) {
    throw new \RuntimeException('不正なファイル名です');
}

$ext = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed, true)) {
    throw new \RuntimeException('許可されていない拡張子です: ' . $ext);
}

4. マジックバイト（ファイルシグネチャ）の検証

• <input type="checkbox" disabled> 重要なファイル（実行可能ファイルの排除など）でマジックバイトを検証している