move_uploaded_file 上传失败is_uploaded_file函数一直提示为假解决
起因:
在利用Face72的一个项目中,上传的所有图片/FLASH/视频等文件都不能上传,都返回失败。检查了服务器目录的权限没有问题,最后经过排查发现是PHP中的is_uploaded_file函数在捣鬼。
用
if (is_uploaded_file($_FILES['oldfile']['tmp_name'])) {
echo "文件是通过POST 上传的。";
} else {
echo "文件没有通过POST上传 ";
}
去做判断结果每次都是提示不是通过POST上传的。
细节分析:
在正常情况下,通过PHP上传文件,需要通过is_uploaded_file函数来判断文件是否是通过 HTTP POST 上传的,这可以用来确保恶意的用户无法欺骗脚本去访问本不能访问的文件,例如 /etc/passwd。
而本次遇到的问题是本来应该是C:\wamp\tmp\phpF7.tmp这样的tmp_name,却变成了C:\\wamp\\tmp\\phpF7.tmp这种,导致is_uploaded_file函数返回错误的信息。
处理方式:
在加上如下代码后,问题解决。
$_FILES['oldfile']['name'] = str_replace('\\\\', '\\', $_FILES['oldfile']['name']);
注意,“\\\\”实际字符串就是两个\,其他两个是用来表示转义的。
深入研究:
为什么在默写特定的环境下会出现这种情况呢,我们来看如下分析:
; Magic quotes for incoming GET/POST/Cookie data.
magic_quotes_gpc = On
在PHP的默认配置中magic_quotes_gpc是On的,而打开了magic_quotes_gpc参数的PHP环境会自动对GET/POST/Cookie添加addslashes效果。注意,并不会为$_FILES添加addslashes效果。
而当magic_quotes_gpc是Off的时候,由于为$_FILES数组添加了addslashes作用,反而出现了问题。也就在magic_quotes_gpc是Off的PHP环境下都会出现此问题。
顺带说句,SVN上的FACE72代码已经修复此问题。
is_uploaded_file函数解析:
判断文件是否是通过 HTTP POST 上传的
bool is_uploaded_file ( string $filename )
如果 filename 所给出的文件是通过 HTTP POST 上传的则返回 TRUE。这可以用来确保恶意的用户无法欺骗脚本去访问本不能访问的文件,例如 /etc/passwd。 这种检查显得格外重要,如果上传的文件有可能会造成对用户或本系统的其他用户显示其内容的话。
为了能使 is_uploaded_file() 函数正常工作,必段指定类似于 $_FILES['oldfile']['name'] 的变量,而在从客户端上传的文件名 $_FILES['oldfile']['name'] 不能正常运作。