允许上传 PHP 文件答案

【问题标题】：Allow upload of PHP file允许上传 PHP 文件
【发布时间】：2013-07-26 17:10:29
【问题描述】：

我的网站上有一个表单，用户可以在其中上传 TXT 格式的文件。这些文件始终是 PHP 文件，我要求用户更改扩展名，以免对服务器（运行 APACHE + PHP）造成损害。

该文件必须上传到 www 目录，因为稍后他们可以在必要时下载该文件。我无法将文件保存在根目录（public_html 之上），因为用户必须有权随时下载文件。问题是，当用户打开包含 PHP 文件的 URL 时，它会被执行，这会在安全性上造成很大的漏洞。

到目前为止，我要求用户将文件上传为 txt，但我想让它更专业，并允许他们将其上传为 *.php。如何防止有人上传带有安全性的文件的攻击损坏我的服务器？

谢谢。

【问题讨论】：

【解决方案1】：

我建议您将它们作为 .phps 文件上传，当您通常查看它们时，它们将是语法突出显示的 PHP 文件，并且不会是可执行的。

禁用 PHP

或者，您可以将它们上传到另一个目录，并通过在该目录的 .htaccess 文件中设置以下内容来使用 .htaccess 禁用 PHP。

php_flag engine off

【讨论】：

【解决方案2】：

让他们上传为 PHP，然后在将临时上传的文件移动到它的永久主页时，将名称命名为 myfile.php.source。在下载页面上，不要只是链接到文件，以这样的方式流式传输它们，您可以强制下载而不是在浏览器中加载页面，并且您可以控制它在标题中的传递方式，例如：

header("内容配置：附件；文件名=\"$file\"");

希望有帮助

【讨论】：

【解决方案3】：

创建一个文件夹并设置php将所有脚本文件上传到那里。

将文件夹权限设置为 744。

这会阻止该文件夹中的任何文件被执行。

【讨论】：