Lista de verificação de implementação de validação de arquivo em formulário web

A implementação da funcionalidade de upload de arquivo possui muitos pontos de atenção em termos de segurança e várias armadilhas que são fáceis de negligenciar. Este artigo explica um checklist para implementar uploads de arquivo que funcionam com segurança em ambiente de produção.

Visão geral da lista de verificação

1. Validação do tamanho do arquivo

• <input type="checkbox" disabled> O limite de upload é definido em bytes (sem confundir MB e MiB)
• <input type="checkbox" disabled> No caso de PHP, ambos <code>upload_max_filesize</code> e <code>post_max_size</code> são configurados
• <input type="checkbox" disabled> No caso de Nginx, o overhead de multipart é adicionado a <code>client_max_body_size</code>
• <input type="checkbox" disabled> Há tratamento de erro quando <code>$_FILES['file']['error']</code> é UPLOAD_ERR_INI_SIZE / UPLOAD_ERR_FORM_SIZE
• <input type="checkbox" disabled> Verifica tamanho mínimo de arquivo（exclui arquivos de 0 bytes）

 $maxBytes) {
        throw new \RuntimeException(sprintf(
            'ファイルサイズ（%s）が上限（%s）を超えています',
            number_format($file['size']),
            number_format($maxBytes)
        ));
    }
}

2. Validação de formato de arquivo (tipo MIME)

• <input type="checkbox" disabled> O <code>Content-Type</code> enviado do cliente (<code>$_FILES['file']['type']</code>) não é confiável
• <input type="checkbox" disabled> Há validação de tipo MIME no lado do servidor usando <code>finfo</code> / <code>mime_content_type()</code>
• <input type="checkbox" disabled> Define whitelist de tipos MIME permitidos

file($file['tmp_name']);

if (!in_array($mimeType, $allowed, true)) {
    throw new \RuntimeException('許可されていないファイル形式です: ' . $mimeType);
}

3. Validação de extensão de arquivo

• <input type="checkbox" disabled> Define whitelist de extensões（não blacklist）
• <input type="checkbox" disabled> Detecta e rejeita extensões duplas（<code>shell.php.jpg</code>）
• <input type="checkbox" disabled> Normaliza e valida maiúsculas/minúsculas（<code>.JPG</code> e <code>.jpg</code> são tratados como iguais）

 2) {
    throw new \RuntimeException('不正なファイル名です');
}

$ext = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed, true)) {
    throw new \RuntimeException('許可されていない拡張子です: ' . $ext);
}

4. Validação de magic byte (assinatura de arquivo)

• <input type="checkbox" disabled> Validando magic bytes em arquivos importantes (excluindo arquivos executáveis, etc.)