웹 양식 파일 검증 구현 체크리스트

파일 업로드 기능의 구현에는 보안상 주의할 점이 많고 놓치기 쉬운 함정도 많습니다. 본 문서에서는 프로덕션 환경에서 안전하게 작동하는 파일 업로드를 구현하기 위한 체크리스트를 설명합니다.

체크리스트 개요

1. 파일 크기 검증

• <input type="checkbox" disabled> 업로드 상한을 바이트 단위로 정의하고 있습니다(MB와 MiB의 혼동 없음).
• <input type="checkbox" disabled> PHP의 경우, <code>upload_max_filesize</code>와 <code>post_max_size</code> 둘 다 설정하고 있습니다.
• <input type="checkbox" disabled> Nginx의 경우, <code>client_max_body_size</code>에 multipart 오버헤드분을 추가하고 있습니다.
• <input type="checkbox" disabled> <code>$_FILES['file']['error']</code>가 UPLOAD_ERR_INI_SIZE / UPLOAD_ERR_FORM_SIZE인 경우의 에러 처리가 있습니다.
• <input type="checkbox" disabled> 최소 파일 크기 검사가 있습니다(0바이트 파일 제외).

 $maxBytes) {
        throw new \RuntimeException(sprintf(
            'ファイルサイズ（%s）が上限（%s）を超えています',
            number_format($file['size']),
            number_format($maxBytes)
        ));
    }
}

2. 파일 형식 검증（MIME 타입）

• <input type="checkbox" disabled> 클라이언트에서 보낸 <code>Content-Type</code>(<code>$_FILES['file']['type']</code>)을 신뢰하지 않습니다.
• <input type="checkbox" disabled> <code>finfo</code> / <code>mime_content_type()</code>으로 서버 측 MIME 타입 검증을 수행하고 있습니다.
• <input type="checkbox" disabled> 허용하는 MIME 타입의 화이트리스트를 정의하고 있습니다.

file($file['tmp_name']);

if (!in_array($mimeType, $allowed, true)) {
    throw new \RuntimeException('許可されていないファイル形式です: ' . $mimeType);
}

3. 파일 확장자 검증

• <input type="checkbox" disabled> 확장자의 화이트리스트를 정의하고 있습니다(블랙리스트가 아닌 화이트리스트).
• <input type="checkbox" disabled> 이중 확장자(<code>shell.php.jpg</code>)를 감지하고 거부하고 있습니다.
• <input type="checkbox" disabled> 대소문자를 정규화하여 검증하고 있습니다(<code>.JPG</code>와 <code>.jpg</code>를 동일시).

 2) {
    throw new \RuntimeException('不正なファイル名です');
}

$ext = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed, true)) {
    throw new \RuntimeException('許可されていない拡張子です: ' . $ext);
}

4. 매직 바이트(파일 서명) 검증

• <input type="checkbox" disabled> 중요한 파일(실행 파일 제외 등)에서 매직 바이트를 검증하고 있습니다.