Sécuriser les uploads PHP : au-delà de la vérification d'extension

Question

Lorsqu'on envoie un fichier avec $_FILES , tu vois qu'on vérifie l'extension avec pathinfo() , mais j'ai lu qu'un hacker peut falsifier l'extension d'un fichier malveillant. Est-ce que vérifier uniquement l'extension est suffisant pour sécuriser l'upload, ou existe-t-il des méthodes plus fiables comme vérifier le MIME type réel du fichier ? Et quelles autres failles de sécurité dois-je anticiper quand je gère des uploads en PHP ?

Louis-Nicolas Leuillet · Accepted Answer

Bonne réflexion ! Vérifier uniquement l'extension avec pathinfo() ne suffit pas : un attaquant peut renommer malware.php en malware.jpg et passer le filtre.
L'essentiel, c'est de vérifier le MIME type réel du fichier avec finfo_file() , qui analyse le contenu (contrairement à $_FILES['fichier']['type'] qui est falsifiable côté client). Voici un exemple rapide :
$tmpPath = $_FILES['fichier']['tmp_name'];
$finfo = new finfo(FILEINFO_MIME_TYPE);
$mimeType = $finfo->file($tmpPath);
$allowedMimes = ['image/jpeg', 'image/png', 'image/gif'];
if (!in_array($mimeType, $allowedMimes)) {
die('Type de fichier non autorisé.');
}
// Renommage sécurisé (on ne garde jamais le nom original)
$extensions = ['image/jpeg' => 'jpg', 'image/png' => 'png', 'image/gif' => 'gif'];
$newName = bin2hex(random_bytes(16)) . '.' . $extensions[$mimeType];
move_uploaded_file($tmpPath, __DIR__ . '/uploads/' . $newName);

Sènakpon Stéphane Miguel Hounsou · Answer

merci

Sécuriser les uploads PHP : au-delà de la vérification d'extension

Créez des sites internet dynamiques avec PHP8 et MySQL