forzar descarga de archivos con php y seguridad

[evoarte]

buenas noches,

he puesto la posibilidad de descargar archivos en una web, y me gustaría saber si es segura:

Código HTML:

<a href="http://www.nombredelaweb.com/ruta/descarga.php?archivo=<%=archivos[j][2]%>&ubicar=correou"><%=archivos[j][2]%></a>
 

Código PHP:

<?php
 
    if (!isset($_GET['archivo']) || empty($_GET['archivo']))
    {
        exit();
    }
 
    $file   = basename($_GET['archivo']);
    $ubicar = $_GET['ubicar']; 
    
    define('BASE_IMAG', 'rutafisicadelacarpetaenelservidor');
    $root = BASE_IMAG.DIRECTORY_SEPARATOR.$ubicar.DIRECTORY_SEPARATOR;
    
    $path = $root.$file;
    $type = '';
 
    if (is_file($path))
    {
        $size = filesize($path);
        if (function_exists('mime_content_type'))
        {
            $type = mime_content_type($path);
        }
        elseif (function_exists('finfo_file'))
        {
            $info = finfo_open(FILEINFO_MIME);
            $type = finfo_file($info, $path);
            finfo_close($info);
        }
        if ($type == '')
        {
            $type = "application/force-download";
        }
 
        // Definir headers
        header("Content-Type: $type");
        header("Content-Disposition: attachment; filename=$file");
        header("Content-Transfer-Encoding: binary");
        header("Content-Length: " . $size);
 
        // Descargar archivo
        readfile($path);
    } 
    else
    {
        die("El archivo no existe.");
    }
 
?>
 

un saludo.

[danicasas]

Yo no me fiaría mucho, la variable $ubicar puede contener cualquier cosa que pasen por GET, alguien podria poner, por ejemplo,
nombredelaweb.com/ruta/descarga.php? archivo=passwords.txt&ubicar=..%2fdirectoriosuperi or%2fdirectoriopersonal

donde %2f representa la barra invertida /
y acceder a cualquier archivo de cualquier directorio.

Quiza mejor que el directorio lo pongas en el php y no lo pases por GET.
Usando basename() creo que no hay problemas para el nombre del archivo.

[evoarte]

Poniendo esto en el navegador:

http://nombredelaweb.com/uparchivos/...ctoriopersonal

el resultado es:

archivo no existe

no se si he hecho bien esta prueba.

¿podrías confirmar?

un saludo.