Защита файлового доступа в PHP

Расширенные примеры безопасного доступа к файлам

Пример 1: Безопасное скачивание файлов с контролем MIME-типа

Допустим, пользователь может скачивать только изображения из каталога /var/www/uploads/images. Используется белый список расширений, проверка реального MIME-типа через finfo и нормализация пути.

<?php
$allowedExtensions = ['jpg', 'jpeg', 'png', 'gif', 'webp'];
$root = '/var/www/uploads/images';

$input = $_GET['file'] ?? '';
$basename = basename($input);
$extension = strtolower(pathinfo($basename, PATHINFO_EXTENSION));

if (!in_array($extension, $allowedExtensions)) {
    die('Недопустимое расширение файла.');
}

$fullPath = $root . '/' . $basename;
$realPath = realpath($fullPath);

if ($realPath === false || strncmp($realPath, $root, strlen($root)) !== 0) {
    die('Путь вне разрешённой директории.');
}

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, $realPath);
finfo_close($finfo);

$allowedMimes = ['image/jpeg', 'image/png', 'image/gif', 'image/webp'];
if (!in_array($mime, $allowedMimes)) {
    die('Реальный MIME-тип не соответствует ожидаемому.');
}

header('Content-Type: ' . $mime);
header('Content-Disposition: attachment; filename="' . $basename . '"');
readfile($realPath);
?>

Результат: пользователь не сможет скачать shell.php с расширением .php, даже если файл случайно оказался в папке с картинками. Расширение проверяется, но если злоумышленник переименует файл в shell.jpg с PHP-кодом внутри, MIME-тип выявит подмену.

Пример 2: Загрузка файлов с контролем размера и созданием безопасного имени

Рассмотрим сценарий загрузки файла на сервер с заменой имени на хеш, чтобы избежать коллизий и обхода path traversal.

<?php
$uploadDir = '/var/www/uploads/files';
$maxSize = 5 * 1024 * 1024; // 5 MB

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['uploaded_file'])) {
    $file = $_FILES['uploaded_file'];

    // Проверка размера
    if ($file['size'] > $maxSize) {
        die('Файл слишком большой. Максимальный размер: 5 МБ.');
    }

    // Проверка MIME через finfo (не доверяем клиентскому типу)
    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    $mime = finfo_file($finfo, $file['tmp_name']);
    finfo_close($finfo);

    $allowed = ['application/pdf', 'application/msword', 'application/vnd.openxmlformats-officedocument.wordprocessingml.document'];
    if (!in_array($mime, $allowed)) {
        die('Недопустимый тип файла.');
    }

    // Генерация безопасного имени
    $extension = 'pdf'; // или извлекать из реального MIME, но не из имени
    $safeName = bin2hex(random_bytes(16)) . '.' . $extension;
    $destination = $uploadDir . '/' . $safeName;

    if (move_uploaded_file($file['tmp_name'], $destination)) {
        echo 'Файл успешно загружен. Имя: ' . $safeName;
    } else {
        echo 'Ошибка при загрузке.';
    }
}
?>

Пояснение: случайное имя исключает возможность предугадать путь к файлу и атаку на него. Расширение выбирается на основе реального MIME, а не из переданного имени (которое может быть подделано).

Пример 3: Использование PHP streams для изоляции файлового доступа

PHP stream wrapper может быть полезен для создания виртуальной файловой системы. Рассмотрим применение php:// и пользовательского stream wrapper для ограничения доступа.

<?php
// Пример с использованием php://filter для чтения только определённых файлов
$file = '/var/www/data/secret.txt';
// Но если разрешить произвольные пути, злоумышленник может прочитать любой файл.
// Поэтому лучше использовать белый список
$allowed = ['secret.txt', 'readme.txt'];
$input = $_GET['file'] ?? '';
if (in_array($input, $allowed)) {
    $fullPath = '/var/www/data/' . basename($input);
    readfile($fullPath);
} else {
    echo 'Доступ запрещён.';
}
?>

Результат: stream-подход сам по себе не даёт преимуществ в безопасности, если не сочетать его с валидацией. Но можно создать свой stream wrapper, который будет проверять права доступа на низком уровне.

Пример 4: Ограничение доступа через crypt() или подпись URL

Иногда требуется дать временный доступ к файлам. Можно генерировать одноразовые подписанные ссылки.

<?php
$secret = 'my_secret_key_123';
$fileId = 42;
$expires = time() + 3600;
$signature = md5($secret . $fileId . $expires);

$link = "download.php?file=$fileId&expires=$expires&sig=$signature";
echo "Ссылка для скачивания: $link";

// В download.php:
$expected = md5($secret . $fileId . $expires);
if ($_GET['sig'] === $expected && time() < $expires) {
    // ... безопасное чтение файла
} else {
    echo 'Ссылка недействительна.';
}
?>

Результат: ссылка действительна только в течение часа. Даже если злоумышленник перехватит URL, он не сможет модифицировать параметры без знания секретного ключа.