PHP: как дезинфицировать загруженные имена файлов?

Бьюсь об заклад, что вы также храните некоторую информацию о файле в базе данных. Если это правильно, вы можете использовать первичный ключ (ID) в качестве имени файла на своем сервере и сохранить исходное имя файла в базе данных. Это дает вам большую гибкость, поскольку вы можете манипулировать метаданными, не переименовывая фактический файл.

Я бы просто запустил простое регулярное выражение, которое заменяет любые не буквенно-цифровые символы символом подчеркивания (или просто удаляет эти символы). Конечно, убедитесь, что вы сохранили расширение.

Если вы хотите пойти немного дальше, вы можете использовать расширение magic mime, чтобы убедиться, что файл имеет тот же формат, что и расширение.

EDIT: Чтобы избежать конфликтов имен файлов в каталоге, вы можете добавить md5 IP-адреса пользователей + текущее время к имени файла.

Чтобы избежать конфликта имен файлов, просто проверьте, не существует ли данное или сгенерированное имя файла:

do {
   // Generate filename, eg.:
   $filename = md5(uniqid()) . $fileExtension;
} while (file_exists($filename));

Это дает вам 100% уверенность в том, что имя файла уникально. Использование md5 (или любого другого хэш-алгоритма) гарантирует, что имя файла безопасно и легко обрабатывается.

Чао, эта функция также удаляет все точки, а затем я создаю чистую строку с расширением.

function sanitaze_upload_file($data)
{
    $imgName   = $data;
    $indexOFF  = strrpos($imgName, '.');
    $nameFile  = substr($imgName, 0,$indexOFF);
    $extension = substr($imgName, $indexOFF);
    $clean     = preg_replace("([^\w\s\d\-_~,;\[\]\(\)])", "", 
    $nameFile);
    $NAMEFILE  = str_replace(' ', '', $clean).$extension;
    return $NAMEFILE;
}

Вместо очистки имен файлов, указанных пользователем, используйте любой другой уникальный идентификатор для этой фотографии и сохраните его как имя файла. Я предпочитаю использовать идентификаторы пользователей, которые являются числовыми и всегда уникальными.

move_uploaded_file($_FILES["tmp_name"],"/home/yourname/".$user_id));

Затем вы можете получить изображение из любого места (скажем, S3 или даже вашего собственного сервера), просто зная идентификатор пользователя. Вам даже не нужен атрибут в вашей базе данных для хранения URL-адресов изображений.

Если вы не против потери фактических имен файлов, я обычно создаю хеш имени файла и устанавливаю имя файла для этого, если то, что вы разрабатываете, имеет множество загружаемых изображений, это помогает избежать конфликтов, когда имена двух файлов названы происходят одинаковые записи.

hash('md5', $_FILES["filename"]["tmp_name"]);