将上传的文件存储到变量名称中是否安全?

时间:2014-09-16 17:48:03

标签: php

我有一个上传文件的表单。我目前正在尝试将编写的代码转换为接受文件作为参数的函数,然后执行各种任务。我检查文件大小,检查是否允许文件扩展名/ mime类型(来自两个允许类型/ mime类型的数组),然后使用move_uploaded_file函数将其移动到适当的目录。

我正在考虑使用它将文件放入函数的参数中:

fileHandling($_FILES["file_name"]) {
  // do stuff;
}

然而,这实际上是从表单中检索数据还是我必须使用$ _POST方法?该函数并没有真正返回任何内容,它只是一个只处理文件的do-all函数。

1 个答案:

答案 0 :(得分:1)

使用表单上传的文件放在$_FILES全局中。

最佳做法是存储文件below the web root以防止直接链接。您需要确保在网络根目录下创建了一个文件夹,并且php.ini文件的路径为set_include_path