CMS上傳圖片文件的安全性問題

Question

我有一個快速的問題，是否有人可以提供幫助。 我正在為一個客戶端建立CMS，他們可以在其中登錄並更改全部存儲在數據庫中的內容（包括通過上傳文件形式的圖片）。

我的問題..我一直在研究，到處都說我需要將圖像文件存儲在根文件夾之外。 如果只有幾個人要在管理面板中上載他們必須首先登錄該站點的文件，那么這是否必要？ 我將已經通過確保文件類型，大小，擴展名等在客戶端方面采取了措施...然后在將文件添加到我的數據庫之前更改了文件名...這是否足夠安全，還是我在尋求麻煩？馬路？

謝謝

Answer 1

將上傳的內容存儲在瀏覽器無法直接訪問的地方通常是一個好主意。 您不希望有人上載.php文件（或其他您忘記檢查的格式），然后能夠通過拉出直接URL來執行該文件。 相反，您將擁有一個傳遞文件的包裝腳本。

是的，這是個好主意，但不是“必需的”（按單詞的字典定義）。 如果您認為管理區域是安全的，那么您當然可以選擇不這樣做。

就是說，在您描述的情況下，只要它是唯一可以上傳圖像的管理員用戶，我認為這兩種方法都不是什么大問題。

順便說一句，如果還沒有，請通過圖像的文件頭或內容而不是文件擴展名來驗證圖像。