Куда в Apache+PHP по умолчанию сохраняются временные закачиваемые файлы?

Question

[Евгений Обыкновенный]

В php.ini параметр upload_tmp_dir пустой

; Каталог для временных файлов, в который PHP помещает закачанные
; файлы (используется системный временный каталог, если в директиве
; указана пустая строка):
upload_tmp_dir =

Где задается, где находится этот системный временный каталог?
Как долго там хранятся файлы?
Может ли злоумышленник закачать туда файл и запустить его, если на папку поставлены неправильные права доступа?

Comments

[Виктор Таран]

а посмотреть в phpinfo не судьба ?
Тем более место всегда одно и тоже, поскольку вы не указали где хранить их то они хранятся в темп папке самого пхп

Answer 1

[Назар Мокринский]

Зависит от ОС. В Linux это /tmp. Можете сделать простую форму, загрузить файл и посмотреть что будет в $_FILES, там будет полный путь к временному файлу. Удаляются после завершения запроса.

Comments

[Boris Köln]

Могут и не удалиться автоматически после окончания запроса. Не надо на это рассчитывать. Правильнее удалять явно (или move_uploaded_file)

[Назар Мокринский]

Boris Korobkov: Могут, но это скорее исключение чем правило, может случиться во время крэша процесса. На сколько я помню при установке в Linux прописываются cron задачи, которые подчищают сессии, эти файлы по идее тоже.

[Boris Köln]

Cron запускается не чаще 1 раз в минуту. Скрипт же может загрузить файл во временную папку и закончить свою работу за долю секунды. И временный файл будет в этой папке еще минимум 59 секунд.

В реальности же явно удаляются только файлы сессии (обычно через 20 минут), а другие файлы могут и месяц храниться.

[Назар Мокринский]

Boris Korobkov: Cron можно запускать и чаще: command && sleep 15 && command && sleep 15 && command

Если это проблема для вас, то всегда можно добавить простую команду что будет производить необходимые проверки и чистить мусор.