PHP'de dosya yükleme işlemleri sırasında güvenliği sağlamak ve sadece belirli dosya türlerinin kabul edilmesini sağlamak kritik öneme sahiptir. Bu konuda en etkili yöntemlerden biri, dosyanın MIME tipi ve uzantısını kontrol etmektir. Ancak, bu kontrollerin tek başına yeterli olmadığını, çünkü dosya uzantısının veya MIME tipinin manipüle edilebileceğini bilmek gerekir. Bu nedenle, kapsamlı bir kontrol sistemi geliştirmek için birkaç aşamadan oluşan bir yaklaşım öneriyorum.
İlk olarak, PHP'de dosya yükleme sırasında $_FILES süper global değişkeni kullanılır. Bu değişken, yüklenen dosyanın adını, boyutunu, tipi ve hata kodunu içerir. En temel kontrol, dosyanın uzantısını ve MIME türünü doğrulamaktır. Örneğin, sadece resim dosyalarını kabul etmek istiyorsanız, aşağıdaki gibi bir yapı kurabilirsiniz:
1234567891011121314151617181920212223
$allowedExtensions = ['jpg', 'jpeg', 'png', 'gif'];
$allowedMimeTypes = ['image/jpeg', 'image/png', 'image/gif'];
$fileName = $_FILES['dosya']['name'];
$fileTmpPath = $_FILES['dosya']['tmp_name'];
$fileSize = $_FILES['dosya']['size'];
$fileType = $_FILES['dosya']['type'];
$error = $_FILES['dosya']['error'];
$extension = strtolower(pathinfo($fileName, PATHINFO_EXTENSION));
if ($error === UPLOAD_ERR_OK) {
if (in_array($extension, $allowedExtensions) && in_array($fileType, $allowedMimeTypes)) {
// Güvenli ise, dosyayı hedef klasöre taşı
move_uploaded_file($fileTmpPath, 'uploads/' . $fileName);
} else {
// Dosya türü uygun değil
echo 'Hata: Dosya türü izin verilenler arasında değil.';
}
} else {
echo 'Hata: Dosya yüklenemedi.';
}
Ancak, bu kontrol yeterli değildir çünkü uzantı ve MIME tipi manipüle edilebilir. Bu durumda, dosyanın içeriğini analiz etmek gerekebilir. PHP'de bunun için
getimagesize() fonksiyonunu kullanmak oldukça faydalıdır. Bu fonksiyon, sadece görüntü dosyalarının gerçek boyut ve format bilgilerini verir ve içeriğin gerçekten bir resim olup olmadığını kontrol eder.
Ayrıca, daha güvenli bir yaklaşımla, dosya içeriğini inceleyerek veya üçüncü taraf kütüphaneler kullanarak dosya doğrulaması yapabilirsiniz. Bu, özellikle PDF veya DOCX gibi diğer dosya türleri için de geçerlidir.
Son olarak, her zaman yüklenen dosyaları belirli bir klasöre taşımadan önce, dosya adını rastgele veya benzersiz hale getirerek isim çakışmalarını ve potansiyel güvenlik risklerini önlemek önemlidir. Ayrıca, dosya erişimini sınırlandırmak ve uygun izinleri ayarlamak da güvenliğin artırılmasında kritik rol oynar.
Bu sistem, PHP'de dosya türü kontrolü ve güvenli yükleme için temel bir yapı sunar. Güvenlik açısından, her zaman birkaç farklı katmanda doğrulama yapmak ve içeriği analiz etmek en iyi uygulamadır.
