将文件存储为字符串时的文件安全性

Question

我有一个关于文件安全性的快速问题。

我有一个php脚本，它从<input type="file">标记中获取文件并使用file_get_contents()将文件数据存储在变量中，是否存在应该注意的安全风险？看看下面的代码：

$file_data = file_get_contents($_FILES[file]['tmp_name']);
$file = base64_encode($file_data);

这是基本的，我不存储或移动文件，只需获取其内容并将其作为字符串发送到RESTFUL API。

我必须决定是否应该使用全新的网络服务器来接收这些请求，或者这种方法在主服务器上是否安全。该网站有很多访问者，我不得不假设人们会尝试展示文件字段。 API不是问题，只涉及托管脚本的服务器的安全性。

祝你好运

Answer 1

取决于允许上传大文件的大小，内存限制以及服务器所具有的内存量，它可能会被用来使服务器崩溃。使用filesize（）检查大小是否合理。

Answer 2

我看到两个安全风险

1. 你最清理输出和放大输入内容。
2. 如果您通过验证其内容来检查文件类型。
3. 文件路径最多为沙盒
4. 限制文件大小