Как обрабатывать файлы с русскими именами при загрузке POST?

Question

[sbh]

Есть клиент который загружает файлы POST запросом.
Имена у файлов иногда бывают на русском языке. И вот когда такие файлы приходят на сервер - он их не сохраняет.
Можно как-то это исправить не меняя клиента?
Я понимаю что можно в клиенте внести изменения - например добавить транслитерацию перед загрузкой, но на данный момент есть только возможность поменять серверную часть.

Файл сохраняется стандартно:

move_uploaded_file($_FILES["filename"]["tmp_name"], $upload_dir_name . '/' . $ClientName . "/" . $ContentTypeDir . '/' . $file_name);

Имя файла собственно выглядит на сервере в момент передачи вот так:
=?KOI8-R?B?4dfEz9TY0TIzMi50eHQ=?=

Comments

[Никита Ермиличев]

1) транслитератор сделайте
2) меняйте кодировку на нужную

[sbh]

Никита, можно более развернуто? такое чувство вообще что имя файла не передается на сервер, если оно на русском языке. Ошибок в логе сервера тоже нет.

[Олег]

$upload_dir_name . '/' . $ClientName . "/" . $ContentTypeDir . '/' . $file_name;
Как Вам
$file_name = '../../../index.php'
?

[Никита Ермиличев]

sbh, А как я тогда понял, что файл называется Авдотья232.txt ? :)

Base64 KOI8-R

выполните var_export($_FILES); и пришлите массив, сейчас всё сделаем

[sbh]

Олег Муравейко, расширения фильтруются. Но замечание верное.
Как лучше такое фильтровать? убирать символы \ и ..?

[sbh]

Никита,
'array ('#$A' ''filename'' => '#$A' array ('#$A' ''name'' => ''=?KOI8-R?B?4dfEz9TY0TIzMi50eHQ=?='','#$A' ''type'' => ''multipart/form-data'','#$A' ''tmp_name'' => ''C:\\wamp64\\tmp\\phpA593.tmp'','#$A' ''error'' => 0,'#$A' ''size'' => 6,'#$A' ),'#$A')'

[sbh]

Олег Муравейко, имя файла берется как md5(basename) плюс расширение. А расширение как pathinfo($_FILES["filename"]["name"], PATHINFO_EXTENSION);

[Олег]

Я беру md5 от контента

Answer 1

[Дмитрий Ким]

Так, видимо, вся проблема в вашем:

move_uploaded_file($_FILES["filename"]["tmp_name"], $upload_dir_name . '/' . $ClientName . "/" . $ContentTypeDir . '/' . $file_name);

Откуда берётся $file_name?
Сделайте через транслитерацию, либо вообще сохраняйте со случайным хешем:

move_uploaded_file($_FILES["filename"]["tmp_name"], $upload_dir_name . '/' . $ClientName . "/" . $ContentTypeDir . '/' . MyRandomGenerator::getString());

Comments

[sbh]

Пробовал делать md5 из имени плюс временная метка - не сохраняются файлы.

[Дмитрий Ким]

sbh, да, быть такого не может!

[sbh]

Дмитрий Ким, нашел причину. При сохранении проверяется расширение и если файл был с русским именем, то даже при наличии расширения у него PHP не может его определить, т.к. строка идет такого вида =?KOI8-R?B?4dfEz9TY0TIzMi50eHQ=?=. Нужно хотя бы расширение файла определять корректно т.к. если просто так все кодировать в MD5 то потом сложно будет понять что за файлы вообще лежат.

[Дмитрий Ким]

sbh, а кодировка какая по-умолчанию?

[sbh]

Дмитрий Ким, на сервере?

Answer 2

[Кирилл Несмеянов]

Файл сохраняется стандартно:

Это не стандартно. Так никто не делает, просто потому, что это дыра в безопасности. Не то что дыра, а прям дырищща. Если клиент передаст вам файл с каким-нибудь именем (естественно заэкранированным, т.к. точки сервак не пропустит) "../../../index.php", например, вы его так и сохраните?

Делайте какой-нибудь "\md5($fileName . \random_int(0, \PHP_INT_MAX))" и не выдумывайте проблем себе.

Comments

[sbh]

а если нужно сохранять оригинальное имя файлов? Транслитерация и чистка от \..\..\..\..?
При сохранении файлов еще проверяется их расширение.

[Кирилл Несмеянов]

а если нужно сохранять оригинальное имя файлов? Транслитерация и чистка от \..\..\..\..?

sbh,
1) Не "\..\", а "/../" всё же. Или сервак под виндой? Ну это странно...
2) Имена файлов сохраняются в БД, как и вся прочая инфа. Кто и кем загружен, какой размер, где находятся какие чанки и что-нибудь ещё, что придумается.

При сохранении файлов еще проверяется их расширение.

Надо проверять mime тип файла, а не расширение. Расширение не имеет смысла проверять от слова "вообще", разве что в качестве фоллбека, для того, чтобы уметь отличать php от txt (по mime их не задетектит, ну или вряд ли задетектит, тут я не ручаюсь).

[sbh]

При сохранении проверяется расширение и если файл был с русским именем, то даже при наличии расширения у него PHP не может его определить, т.к. строка идет такого вида =?KOI8-R?B?4dfEz9TY0TIzMi50eHQ=?=. Нужно хотя бы расширение файла определять корректно т.к. если просто так все кодировать в MD5 то потом сложно будет понять что за файлы вообще лежат.