验证文件名的最佳业务实践是什么？

Question

我有一个“困境”，想知道什么是商业最佳实践。

我正在使用 Uploadify 上传图像。现在我需要在保存文件之前验证文件名。

我研究了不同的解决方案，但无法找到一种好的解决方案。

以下是我的标准：

• 文件名必须全部小写
• 文件名只能包含字符 [a-z0-9_-]
• 我必须能够重命名文件

如果文件名是 my.file(name)，您会如何处理。 jpeg ？

我可以在“.”上分解文件名并保存扩展名，然后内爆以再次获取文件名。但不确定这是否是最好的解决方案。

我有以下功能可以提供一些帮助：

function getExts($filename) 
{ 
    $exts = explode("[/\\.]", $filename) ; 
    $n = count($exts)-1; 
    $exts = $exts[$n]; 
    return $exts; 
}

function validFilename($filename)
{
    $filename = str_replace(" ", "_", $filename);
    $pattern = "/[^[a-z0-9_-]/";
    return preg_replace($pattern, "", strtolower($filename));
} 

更新 1
我通过 $_FILES 接收文件。这给了我以下数据：

• $_FILES["file"]["name"] - 上传文件的名称
• $_FILES["file"]["type"] - 上传文件的类型
• $_FILES["file "]["size"] - 上传文件的大小（以字节为单位）
• $_FILES["file"]["tmp_name"] - 存储在服务器上的文件临时副本的名称
• $_FILES["file"][ "error"] - 文件上传产生的错误代码

UPDATE 2
我刚刚发现了一些东西。我可以使用 getimagesize 它将返回一个包含 7 个元素的数组。这些元素 [2] 之一是 IMAGETYPE_XXX。

所以我尝试使用这段代码：

function getExts2($filename)
{
    list(,,$type) = getimagesize($filename);
    return $type;
}

但它只返回数字2...

（我也尝试使用exif_imagetype，但它只得到PHP错误：调用未定义的函数。）

Answer 1

使用正则表达式检查文件名。使用有关 mimetype 的信息。使用 md5 名称将文件保存在服务器上。将真实文件名存储在数据库上。

Answer 2

pathinfo() 可以获取文件名和扩展名。不过，我会警告您，您不能依赖通过检查文件名来测试文件的扩展名。您将需要使用一个函数来实际检查文件的二进制内容。 finfo_file() 可以完成此操作。哦，在用户提供的文件路径上使用 basename() 来阻止路径也没什么坏处遍历攻击。

Answer 3

我假设您正在验证文件名以供以后用作下载文件名。

虽然为了用户的利益保留文件名是很好的，但从技术角度来看，您的方法听起来不错。

如果您关心 URL 的外观，并且将来可能面向国际受众，请务必将变音符号转换为其基本字符或将其转换。德国用户（变音符号 ä Ö Ü ß）会期望转换：

Ä = ae
Ö = oe
Ü = ue

感到放心

Ä => a
Ö => o
Ø => o

而斯堪的纳维亚人似乎对等等

。然后还有各种重音字符 é á ó...

完全删除这些字符会导致在 bwsr 地址 br 中看起来真正 bd 和 lok strng 的 URL。

Answer 4

这应该可以完成您想要的一切：

$filename = preg_replace('/[^[a-z0-9_-]/', '', str_replace(' ', '_', strtolower(pathinfo($filename, PATHINFO_FILENAME)))) . pathinfo($filename, PATHINFO_EXTENSION);

正如 Pekka 所解释的，如果您想替换文件名中的所有重音符号，您可以使用以下函数：

function Unaccent($string)
{
    return preg_replace('~&([a-z]{1,2})(acute|cedil|circ|grave|lig|orn|ring|slash|th|tilde|uml);~i', '$1', htmlentities($string, ENT_QUOTES, 'UTF-8'));
}

Answer 5

我认为您不应该“验证”文件名，如果它不是您想要的格式，您应该“修复”它。为什么仅仅因为有人不善于命名文件或其中包含一些不寻常的字符就拒绝文件？另外，如果您正在处理图像，则可以使用您提到的 getimagesize 来确保它确实是已上传的图像（如果不是图像，则应该失败）。