php csv文件上传和解析安全性

Question

我有兴趣确保我的文件通过php上传到数据库中被锁定。目前我正在使用的关键功能是fopen和fgetcsv。不幸的是，这个主题似乎在网络中非常模糊。

该文件不是“已执行”，而是打开并使用fgetcsv行走。我需要采取哪些步骤才能确保通过此模块在我的服务器上没有发生任何恶意游戏？

目前我限制文件大小并检查扩展名。

1. 我是否需要验证上传的文件实际上是csv而不仅仅是某个带有csv扩展名的文件？我假设这是通过文件类型识别器？
2. 我需要做些什么才能避免多字节/编码攻击？

***编辑 我发现这个链接很有用，可能对其他人有用; http://php.net/manual/en/features.file-upload.post-method.php

由于

Answer 1

如果您依靠库来解析用户输入，那么您应该对库的质量有信心。

如果你不这样做，建议选择一个单独的库。

如果找不到足够稳定的任务库，那么安全关键应用程序中唯一可行的选择就是自己实现该功能。