Как безопасно обрабатывать загрузку файлов?

Безопасная обработка загрузки файлов в PHP

Обработка загрузки файлов — одна из наиболее уязвимых точек веб-приложений. Неправильная реализация может привести к RCE (Remote Code Execution), XSS (Cross-Site Scripting), DoS (Denial of Service) и утечке данных. Вот комплексный подход к безопасности.

Основные угрозы и контрмеры

1. Валидация типа файла

Никогда не доверяйте данным Content-Type или расширению файла. Используйте MIME-тип на уровне файловой системы:

$allowed_mime_types = ['image/jpeg', 'image/png', 'application/pdf'];
$file_mime_type = mime_content_type($_FILES['file']['tmp_name']);

if (!in_array($file_mime_type, $allowed_mime_types)) {
    throw new Exception('Недопустимый тип файла');
}

Дополнительно используйте проверку расширения и сигнатур (магических чисел):

$signatures = [
    'image/jpeg' => "\xFF\xD8\xFF",
    'image/png'  => "\x89PNG\x0D\x0A\x1A\x0A",
];

$file_content = file_get_contents($_FILES['file']['tmp_name']);
$valid = false;

foreach ($signatures as $mime => $signature) {
    if (strpos($file_content, $signature) === 0) {
        $valid = true;
        break;
    }
}

2. Ограничение размера файла

Проверяйте размер на нескольких уровнях:

// В PHP.ini настройте:
// upload_max_filesize = 10M
// post_max_size = 12M

// В коде приложения:
$max_size = 10 * 1024 * 1024; // 10MB

if ($_FILES['file']['size'] > $max_size) {
    throw new Exception('Файл слишком большой');
}

// Дополнительная проверка во время обработки
$stream = fopen($_FILES['file']['tmp_name'], 'r');
$actual_size = 0;

while (!feof($stream)) {
    $actual_size += strlen(fread($stream, 8192));
    if ($actual_size > $max_size) {
        fclose($stream);
        throw new Exception('Обнаружено превышение размера');
    }
}
fclose($stream);

3. Безопасное именование и хранение

• Генерируйте случайные имена файлов
• Избегайте пользовательских имен и путей
• Храните за пределами корневой директории веб-сервера

// Генерация безопасного имени
$extension = pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION);
$safe_filename = bin2hex(random_bytes(16)) . '.' . $extension;

// Путь вне корневой директории
$upload_dir = '/var/www/uploads/'; // Недоступно напрямую через URL
$full_path = $upload_dir . $safe_filename;

// Проверка на path traversal
$real_path = realpath($upload_dir . basename($safe_filename));
if (strpos($real_path, $upload_dir) !== 0) {
    throw new Exception('Недопустимый путь');
}

4. Санитизация содержимого

Для определенных типов файлов обрабатывайте содержимое:

// Для изображений - пересоздавайте через GD или Imagick
if (strpos($file_mime_type, 'image/') === 0) {
    $original = imagecreatefromstring(file_get_contents($tmp_path));
    $sanitized = imagescale($original, imagesx($original), imagesy($original));
    imagejpeg($sanitized, $full_path, 90);
    imagedestroy($original);
    imagedestroy($sanitized);
}

5. Проверка на вредоносный код

Для загружаемых файлов, которые могут содержать скрипты:

// Проверка на вставки PHP
$dangerous_patterns = [
    '<?php', '<?=', '<script', 'eval(', 'base64_decode',
    'system(', 'shell_exec(', 'passthru('
];

$content = file_get_contents($_FILES['file']['tmp_name']);
foreach ($dangerous_patterns as $pattern) {
    if (stripos($content, $pattern) !== false) {
        throw new Exception('Обнаружен потенциально опасный код');
    }
}

Полный пример обработки

class FileUploader {
    private $allowed_types = ['image/jpeg', 'image/png'];
    private $max_size = 5242880; // 5MB
    private $upload_path = '/var/secure/uploads/';
    
    public function handleUpload(array $file): string {
        // Проверка ошибок загрузки
        if ($file['error'] !== UPLOAD_ERR_OK) {
            throw new Exception('Ошибка загрузки файла');
        }
        
        // Проверка размера
        if ($file['size'] > $this->max_size) {
            throw new Exception('Файл превышает допустимый размер');
        }
        
        // Валидация MIME-типа
        $mime_type = mime_content_type($file['tmp_name']);
        if (!in_array($mime_type, $this->allowed_types)) {
            throw new Exception('Неподдерживаемый тип файла');
        }
        
        // Генерация безопасного имени
        $extension = $this->getExtensionByMime($mime_type);
        $filename = $this->generateSafeFilename($extension);
        $full_path = $this->upload_path . $filename;
        
        // Перемещение файла с дополнительными проверками
        if (!is_uploaded_file($file['tmp_name'])) {
            throw new Exception('Возможная атака на загрузку файла');
        }
        
        if (move_uploaded_file($file['tmp_name'], $full_path)) {
            // Установка безопасных прав доступа
            chmod($full_path, 0644);
            return $filename;
        }
        
        throw new Exception('Не удалось сохранить файл');
    }
    
    private function generateSafeFilename(string $ext): string {
        return bin2hex(random_bytes(16)) . '.' . $ext;
    }
    
    private function getExtensionByMime(string $mime): string {
        $map = ['image/jpeg' => 'jpg', 'image/png' => 'png'];
        return $map[$mime] ?? 'bin';
    }
}

Дополнительные меры безопасности

• Используйте WAF (Web Application Firewall) для фильтрации запросов
• Регулярно обновляйте PHP и библиотеки обработки файлов
• Настройте лимиты выполнения скриптов (max_execution_time)
• Ведите логирование всех операций загрузки
• Реализуйте квоты на загрузку для пользователей
• Периодически сканируйте загруженные файлы антивирусом

Важные принципы

1. Принцип минимальных привилегий: PHP процесс должен иметь доступ только на чтение/запись в директорию загрузки
2. Глубокий эшелон защиты: Множественные уровни проверок
3. Отказ по умолчанию: Запрещайте всё, что явно не разрешено
4. Регулярный аудит: Периодически проверяйте загруженные файлы

Безопасная обработка файлов требует многоуровневого подхода, где каждая проверка служит страховкой для других. Ни одна отдельная мера не обеспечит полную защиту, но их комбинация значительно снижает риски.