Verificar el tipo de archivo antes de subirlo

[nucleorion]

Hola.

Estoy haciendo una web en la que se puedan subir imagenes para usarlas despues en foros, blogs, etc. Una alternativa a imageshack vamos, que ultimamente comienza a estar prohibido el uso en foros de imagenes almacenadas ahi, ya que ahora tiene codigo malicioso.

Bueno a lo que voy. He probado para saber el tipo de archivo:

Código PHP:

  $_FILES['userfile']['type']  
   

y

Código PHP:

  mime_content_type($_FILES['userfile']['name'])  
   

Que por cierto; ambas parecen ser exactamente lo mismo, dependen del navegador para devolver "image/jpg" por ejemplo.
Pero resulta que si le cambias a una imagen la extension jpg por txt, devuelve text/txt. (Para eso miro cual es la extension del archvio y asi no dependo de si el navegador devuelve o no el mime. De verdad que no entiendo para que sirve ese codigo.)

Entonces, cual es la manera de saber el tipo de archivo por su contenido? O en concreto; ¿Como saber si es una imagen, y de que formato?

Si necesitais probar algo antes de responder, la web es [URL="http://www.aplinet.org"]www.aplinet.org[/URL]

[maycolalvarez]

a lo sumo con javascript del lado del cliente puedes obtener el nombre del archivo y comparar la extensión (algunos navegadores incluso no lo permiten), pero una vez en PHP ya está subido, de todas formas debes de hacer la re-comprobación en el servidor (PHP) para evitar inyecciones de uploads

[el_quick]

Hola nucleorion, primero decirte que lo que estás haciendo no es "antes de subirlo", pues a esas alturas tu(s) archivo(s) ya han sido subidos y están en la carpeta temporal.

Luego, la forma correcta de validar el tipo de archivo es por medio de su mime-type, pues cambiar la extensión es muy fácil. El mime-type de un archivo viene impregnado en sus cabeceras y anque sea más complicado, validar así es la forma correcta.

Un saludo!

[nucleorion]

Como digo en el mensaje inicial, si a un archivo jpg llamado imagen.jpg y que me da "image/jpg" lo renombro y le llamo image.txt lo que me da es "text/txt" por lo que eso no sirve de nada ya que para eso miro la extension y no dependo de si el navegador soporta o no mime.

Ya se que a esas alturas el archivo ya esta subido, de momento no es un problema. Solo quiero saber si es una imagen o no para mostrarla o avisar de que el archivo subido no es una imagen.

[piqui81]

Código PHP:

<?php
 echo $_FILES["file"]["type"];
 echo "<hr/>";
 $finfo = finfo_open(FILEINFO_MIME_TYPE); // return mime type ala mimetype extension
 echo finfo_file($finfo, $_FILES["file"]['tmp_name']);
 finfo_close($finfo);
?>
 

Con esto anda.
finfo_file funciona con la 5.3 en adelante..

[nucleorion]

Cachis! todavia tengo la 5.2 en mi server baratito. Si no aparece otra solucion tendre que esperar a que se decidadn a actualizar.

Gracias.