파일 이름에 PHP가 이스케이프하는 사용자 입력

Question

사용자가 파일을 업로드 할 수있는 양식이 있는데이 파일의 이름을 [id]_[lastname]_[firstname].pdf 줄에 지정하고 싶습니다. 이름은 사용자에 의해 입력되며, 나는 그 안에 슬래시가있는 무언가를 입력하는 것을 두려워합니다. 첫 번째 이름이 john/hahaimajerk이면 $path = $dir.$filename과 같은 문자가 $path = 'uploads/2_smith_john/hahaimajerk.pdf'이 될 수 있습니다.

나는 사용자가 이름을 다른 것으로 제한하도록 강요하고 싶지 않습니다. 나는 원래 이름을 말할 수있는 한 파일 이름에서 약간의 이름을 변경해도 괜찮습니다. 탈출을 위해 어떤 인물이 필요합니까? 아니면 이것을 할 수있는 다른 방법이 있습니까? 또는 ... 그냥 mysql_real_escape_string을 사용합니까?

는

Answer 1

mysql_real_escape_stringstr_replace("/","",$filename)를 사용하여 문제를 방지 할 수 있습니다. 심지어 escapeshellarg도 그렇게하지 않을 것입니다. str_replace을 사용해야합니다 :

$path = str_replace('/', '_', $path); 

Answer 2

파일 이름에서 유일하게 "안전하지 않은"문자는 /입니다 - 그래서 당신은 쉽게 슬래시를 이스케이프하지 않습니다

Answer 3

나는 보통 이것을 위해 정규식을 사용합니다. 그리고 특정 문자 (예 : 슬래시, 점 등)를 제거하는 대신 특정 문자 (예 : 영숫자) 만 허용하는 것이 좋습니다

예를 들어 문자, 숫자, 대시 또는 밑줄 밑줄 :

$escaped = preg_replace('/[^A-Za-z0-9_\-]/', '_', $raw); 

대시 대시 달리 (예 : AZ로) 문자 범위를 지정하는 데 사용됩니다로서, 정규 표현식에서 대시를 탈출하는 것입니다 전에 백 슬래시.

Answer 4

escapeshellcmd도 도움이 될 수 있습니다.

http://php.net/manual/en/function.escapeshellcmd.php

알렉스 N. 적혀

echo escapeshellcmd("\/()_") -> will display \\/\(\)_