Не удаётся получить тип файла в php. Что делать?

Question

[Евгений Усачев]

По событию ondrop я вызываю функцию (сам ondrop работает верно, поэтому его я не прилагаю):

function upload_file(event) {
event.preventDefault();
file_object = event.dataTransfer.files[0];
ajax_file_upload(file_object, '<?=$_COOKIE['id']?>');
 function ajax_file_upload(file_object, id) {
 if(file_object != undefined) {
 let form_data = new FormData();                 
 form_data.append('file', file_object);
 form_data.append('id', id);
}

Дальше работа с $.ajax, который тоже работает верно.
В самом PHP файле мы получаем массив:

<?php
    $id=$_POST['id'];
    $arr_file_types = ['image/png', 'image/gif', 'image/jpg', 'image/jpeg'];
    echo $_FILES['file']['type'];

Дальше по коду мы загружаем файл и записываем ссылку на него в БД. Весь код работает верно и загружает картинку, кроме обработки типа файла. Я не могу его сравнить с допустимыми типами, так как не могу получить тип. Если вам нужно больше информации, то я скину больше кода. Подскажите, что не так с моим кодом.

Comments

[Виталий Артемьев]

Что в $_FILES?
Сделай var_dump

[Евгений Усачев]

Виталий Артемьев,

[SagePtr]

Вообще я бы не полагался на стороне сервера на mime-тип, злоумышленник его может легко подменить на любой. Лучше читать первые несколько байт файла и по ним определять формат.

[Евгений Усачев]

SagePtr, я начинающий PHP разработчик. Приведите пожалуйста пример!

[FanatPHP]

SagePtr, типа злоумышленник не может подменить первые несколько байт :)))

[FanatPHP]

Евгений Усачев, смотрим в клеточку "error"

[SagePtr]

FanatPHP, может, но ему это ничего не даст

[SagePtr]

Евгений Усачев, к примеру, этой функцией можно воспользоваться: https://www.php.net/manual/ru/function.mime-conten...

[FanatPHP]

SagePtr, я извиняюсь, в каком смысле "ничего не даст"?
почему вдруг mime-тип даст, а байты не даст? :)

[SagePtr]

FanatPHP, очень часто новички полагаются на поле mime-type для валидации файла, совершенно игнорируя тот факт, что это поле берётся с клиента, слепо веря ему на слово. Само собой, если юзер слепо полагается и на другие поля вроде имени файла, передаваемого клиентом - то никакая валидация файла его не спасёт, даже если его целиком побайтово распарсить и проверить на соответствие стандарту.

[FanatPHP]

SagePtr, полагаться на имя файла как раз-таки и спасёт.

[SagePtr]

FanatPHP, не во всех случаях. Например, по имени и заявленному майм-типу там jpeg, внутри SWF с ZIP-бімбой, а валидация происходит функцией getimagesize. В таком случае getimagesize начнёт радостно распаковывать этот файл, выжрав память сервера. Хотя может быть в современных версиях PHP подобные шалости поправили, не проверял, честно говоря.

[FanatPHP]

SagePtr, вернёмся пока от экзотических атак к проверке типа или "первых трех байт".
Веб-сервер определяет тип файла по расширению, а не по содержимому.
Поэтому надо проверять/задавать расширение.
А тип нам в плане безопасности вообще ничего не даст.

[SagePtr]

FanatPHP, ну а автору вопроса зачем-то нужно получать тип файла. Потому я и предложил ему более адекватный способ вместо совсем дырявого

[Дмитрий]

Евгений Усачев, https://qna.habr.com/q/673461#answer_1463090
Как безопасно загружать картинки. Тип можно подменить

Answer 1

[Ross Alex]

В данном случае, фильтрация по картинкам. Поэтому, я бы на стороне клиента попытался бы загрузить указанный файл в DOM Image и на onLoad'е получил бы понимание, картинка ли это.

Если же принципиально на сервере, то mime_content_type с $_FILES['file']['tmp_name'], как это уже указывали в ответах.

Если защищаться, то фотку можно проверять либо отдельным изолированным микросервисом, так как это не быстрый процесс.