2 svar · 1 299 visningar · startad av xtreme
Jag behöver hämta bilder från en annan server (mitt eget Amazon S3 konto) och lägga på min serven där jag har min webbsida. Med PHP kan man använda
copy('http://img.youtube.com/vi/Rz8KW4Tveps/1.jpg', APP . '/tmp/imgID.jpg');
Eller
$image = file_get_contents("http://img.youtube.com/vi/Rz8KW4Tveps/1.jpg");
file_put_contents("imgfolder/imgID.jpg", $image);
Mitt webbhotell har dock detta avstängt som standard med motiveringen att det är en säkerhetsrisk och som standard avstängt i PHP 5.x. Jag kan dock slå på det i min php.ini.
Hur stor säkerhetsrisk är det om jag slår på det? Vad finns för säkerhetsrisk? Vad är mina alternativ?
En säkerhetsrisk med file_get_contents är att om man hämtar sökvägen som ska öppnas från användardata - speciellt om man inte kontrollerar användardatat - så kan användaren då komma åt samtliga filer på servern som PHP har åtkomsträttigheter till.
Följande kod är alltså inte säker alls:
<?php echo file_get_contents($_GET['url']); ?>
file_get_contents() innebär inga säkerhetsrisker om det används på "rätt" sätt.
Om du aldrig har med användardata som argument så behöver du absolut inte oroa dig.
