subida de imagenes con php

[Adell]

Bueno hace unos dias vengo trabajando con un sistema de imagenes, que las sube y redimensiona. Para comprobar si el tipo de archivo es valido lo que hago es levantar el nombre de la imagen y separar de la cadena la extension, eso serian los detalles de mi trabajo.
El asunto es que hice una prueba guardando una javascript y subiendolo con extension jpg, obviamente las librerias gd al intentar tranasformarlo me tiro mensajes de error diciendo que el formato no es valido (obviamente), pero a pesar de todos los mensajes de error me subio igual la imagen al servidor, la pregunta es hay alguna forma de evitarlo? y me conviene comprobar la imagen por extension o con el atributo $_FILES['imagen']['type'] es mas seguro o existe otra manera de hacer esa comprobacion y que no me suban cualquier archivo con extension de imagen?

saludos y gracias de antemano

[tute666]

el type lee el mime type del archivo.
es lo mas seguro que podes hacer, en conjuncion con getimagesize($archivo) > 0;

[korg1988]

tenes que comprobar los archivos por su MIME TYPE y esto corre para TODOS los archivos y comprobaciones

http://ar.php.net/mime_magic

[korg1988]

como dice tute666 podes usar la funcion getimagesize que en una de sus keys tiene el mimetype

Ej:

Código PHP:

  $datos = getimagesize("tu_imagen.jpg");
echo $datos['mime'];  
   

el problema es que si no es una imagen te va a tirar error a menos que interpongas una arroba delante de la funcion

@getimagesize()

en fin, lo optimo es usas finfo que segun el manual de php es lo optimo

[Adell]

Lo del error del getimagesize() se me ocurrio solucionandolo asi

width != ""
ya que si es un javascript con extension de imagen $_FILES va a devolver el width y el height como cadena vacia, si me equivoco que alguien me corrija

Gracias

[korg1988]

sigue siendo una manera poco profesional de hacerlo.

Utiliza las librerias de PHP para eso estan!

http://ar.php.net/mime_magic

[Adell]

Si es verdad, quedo como un parche medio feo, por cierto yo se que lo vi en algun lado pero no me acuerdo donde, pero tenes idea cuales son los tipos de jpg que me puede devolver el $_FILES se que son varios pero como dije no me acuerdo donde lo vi

saludos

[korg1988]

el mime tipe es unico!


image/jpeg

en el caso de los jpg, despues el resto son extenciones

.jpg
.jpeg
etcetera

[Adell]

Ah no sabia, preguntaba porque ayer hice el echo de un $_FILES['type'] de una imagen y me devolvio image/pjpeg

saludos

[korg1988]

parece ser que es una falla de internet explorer, enviar ese mime type

mira

http://www.webmasterworld.com/forum88/5931.htm

a tener cuidado con eso! no lo sabia

[ElJavista]

Mira podrías hacer algo, usa JavaScript para validar la extensión del archivo antes de enviarlo.

[korg1988]

ElJavista, realizar una comprobacion de extencion es inseguro!, pensa que pueden ponerle extension jpg a un archivo con otro contenido

[Ronruby]

De que vale poner un archivo jpg con otro contenido.
Si al fin y al cabo vas a imprimirlo con etiquetas <img>.

[korg1988]

a mi no me gustaria que un **imbecil** meta contenidos que no se van a imprimir correctamente en un sistema o sitio que yo este haciendo.... pero bueno eso queda en cada uno.
pero me parece que aunque uno no sea profesional (como yo, o como otros) podria intentar hacer que las cosas funcionen lo mejor posible

de que sirve dejar todo hecho asi nomas!:... para que cuando vallas a mostrar una imagen te encuentres con que no se puede mostrar...

[franco190453]

Por ahi me encontre esto ->

pjpeg mime type refers to a progressive jpeg image. this means it can be streamed and displayed while it is loading. the target system will know ahead of time that it is displaying a progressive jpeg instead of a standard jpeg by the mime-type before the file even starts loading.

not a bug. just a feature not supported by firefox, for some reason.

Saludos
Franco

[franco190453]

Adell:
El tipìco codigo para subir archivos conlleva ->
Caso PHP:

un is_uploaded_file......
Aqui hph lo sube al directorio temporal segun la directiva del php.ini para la ubicacion de archivos a subir. De no existir esa directiva o no tener un directorio de subida predefinido php lo sube al directorio que por defecto tenga el sistema operativo.
En este punto el archivo subido al directorio temporal siempre se llama asi: php(un numero secuencial).tmp (Ejemplo php34.tmp)
Aqui ya php sabe el tipo, nombre y tamaño.
Aqui puedes utilizar un preg_match para seleccionar los que deseas subir; asimismo, puedes seleccionar tamaños tambien.
Si el archivo no cumple con tus requisitos y el codigo exits() en este punto el archivo desaparece completamente.

un move_upload_file....
Aqui ya el archivo ha sido aceptado y depositado con su adecuado nombre y extension.
Si como mencionaron el archivo pudiera contener codigo malicioso, entonces en este nivel puedes hacer que tu antivirus revise el contenido.

Hasta aqui mis comentarios.
Saludos
Franco

[Adell]

a mi no me gustaria que un **imbecil** meta contenidos que no se van a imprimir correctamente en un sistema o sitio que yo este haciendo.... pero bueno eso queda en cada uno.
pero me parece que aunque uno no sea profesional (como yo, o como otros) podria intentar hacer que las cosas funcionen lo mejor posible

totalmente de acuerdo, de hecho mi script funciona bien pero la idea es dejarlo lo mejor posible, primero para no llevarme sorpresas desagradables y segundo para mejorar mi programacion y que las cosas queden lo mas "profesionalmente" posible.

Ahora vuelvo a recurrir a ustedes, que solucion consideran mejor, dentro del if podria pedir que el archivo tenga un mime jpeg o pjpeg, algo asi

if $mime == image/jpeg || $mime == image/pjpeg {
...
} //donde $mime es $_FILES['imagen']['type']

o podria como en el link que me paso korg1988 (por cierto gracias!), cortar la cadena del mime y concentrarme en que nada mas sea una imagen (de todas formas la idea es que tambien sirva para gif y png).
Que opcion consideran mejor?

Gracias a todos por sus respuestas
Saludos

[Ronruby]

a mi no me gustaria que un **imbecil** meta contenidos que no se van a imprimir correctamente en un sistema o sitio que yo este haciendo.... pero bueno eso queda en cada uno.
pero me parece que aunque uno no sea profesional (como yo, o como otros) podria intentar hacer que las cosas funcionen lo mejor posible

de que sirve dejar todo hecho asi nomas!:... para que cuando vallas a mostrar una imagen te encuentres con que no se puede mostrar...

Me referia en cuanto a seguridad, no representa ningun riesgo de seguridad. Pero si, a mi tampoco me gustaria que un **imbecil** meta contenidos que no se vallan a imprimir correctamente.

[korg1988]

si vas a usar varios formatos de archivos podrias hacer directamente una funcion que controle los mimes que vos quieras usar y de esta forma estarias mejorando tu programacion (mejor dicho "ordenando" jajaj)

como puede ser asi

Código PHP:

  <?
function checkMime( $mimeType )
{
    switch( $mimeType )
    {
        //si es alguno de los mime types permitidos entonces retorno TRUE
        case 'image/jpeg': return true; break;
        case 'image/pjpeg': return true; break;
        case 'image/gif': return true; break;
        case 'image/png': return true; break;
                
        //sino retorno FALSE
        default: return false; break;
    }
}


if( checkMime( $_FILES['imagen']['type'] ) ) {
    //aca hago lo que tenga que hacer
}
?>   

[Adell]

Me gusto tu idea Korg1988, ese es el orden que estaba buscando

Gracias a todos`por su ayuda
Saludos

[ElJavista]

Yo sugerí usar el JavaScript para verificar la extensión del archivo, pero nunca dije que se dejara de usar PHP para reconocer realmente el tipo de archivo.

[ElJavista]

Iniciado por korg1988

a mi no me gustaria que un **imbecil** meta contenidos que no se van a imprimir correctamente en un sistema o sitio que yo este haciendo.... pero bueno eso queda en cada uno.
pero me parece que aunque uno no sea profesional (como yo, o como otros) podria intentar hacer que las cosas funcionen lo mejor posible

de que sirve dejar todo hecho asi nomas!:... para que cuando vallas a mostrar una imagen te encuentres con que no se puede mostrar...

Pero acaso no entiendes lo que digo? El JavaScript comprueba solo la extensión y luego el PHP verifica si realmente es ese tipo de archivo mediante (por ejemplo) getimagesize, si un "**imbécil** mete contenidos que no se van a imprimir correctamente en un sistema o sitio" que estás haciendo entonces el PHP va rechazarlo, así de simple. Lo que sugiero es solamente hacer un filtro para evitar que se envíen archivos que tengan otras extensiones que la permitida. Eso es todo. Nunca dije que se dejara de usar el PHP.

[korg1988]

no tengo nada que entender de lo que digas, no se porque te pones a discutir por algo que dije como 6 comentarios arriba y que lo dije hace dias, y recien ahora caes!.... mmmm

tardaste 1 dia en escribir ese mensaje? ya que el ultimo tuyo es de ayer y este es de hoy

deja de discutir y cerremos este tema que ya se termino hace rato

[Adell]

Hola de nuevo, me surgio la necesidad de reabrir el tema (simplemente para no hacer un tema nuevo), estaba muy tranquilo subiendo mis imagenes, cuando subi un png y me encontre con este mime image/x-png, entonces necesitaba si alguien tenia idea de cuantos de estos modificadores existen ya que compruebo si el archivo es valido por medio del $_FILES[imagen][type].

Saludos

[korg1988]

tendrias que buscar algun listado de mimetypes ya existente, desconozco todas las variedades

sino tendrias que ponerte a probar mime types y anotarlos

[Adell]

Gracias de nuevo por responder, encontre un listado de mime types muy completo y ahi ese formato me salta con el mime image/png; aparentemente es cosa del internet explorer como me dijiste mas arriba, ya que lo probe en firefox y anduvo bien, por cierto lo probe con el ie6 desconozco si en el 7 ya corrigieron ese error, si alguien lo probo en esa version saqueme la duda, encima lo peor de todo es que mucho gente sigue usando el ie

saludos