นี่คือวิธีการล้างระบบไฟล์ตามที่ถาม
function filter_filename($name) {
// remove illegal file system characters https://en.wikipedia.org/wiki/Filename#Reserved_characters_and_words
$name = str_replace(array_merge(
array_map('chr', range(0, 31)),
array('<', '>', ':', '"', '/', '\\', '|', '?', '*')
), '', $name);
// maximise filename length to 255 bytes http://serverfault.com/a/9548/44086
$ext = pathinfo($name, PATHINFO_EXTENSION);
$name= mb_strcut(pathinfo($name, PATHINFO_FILENAME), 0, 255 - ($ext ? strlen($ext) + 1 : 0), mb_detect_encoding($name)) . ($ext ? '.' . $ext : '');
return $name;
}
ทุกอย่างได้รับอนุญาตในระบบไฟล์ดังนั้นคำถามจึงได้รับคำตอบอย่างสมบูรณ์ ...
... แต่การอนุญาตให้ใช้เครื่องหมายคำพูดเดี่ยวในชื่อไฟล์อาจเป็นอันตรายได้'หากคุณใช้ในภายหลังในบริบท HTML ที่ไม่ปลอดภัยเนื่องจากชื่อไฟล์ตามกฎหมายนี้:
' onerror= 'alert(document.cookie).jpg
กลายเป็นรู XSS :
<img src='<? echo $image ?>' />
// output:
<img src=' ' onerror= 'alert(document.cookie)' />
ด้วยเหตุนี้ซอฟต์แวร์ CMS ยอดนิยมWordpress จึงลบออก แต่ครอบคลุมตัวอักษรที่เกี่ยวข้องทั้งหมดหลังจากการอัปเดตบางส่วนเท่านั้น:
$special_chars = array("?", "[", "]", "/", "\\", "=", "<", ">", ":", ";", ",", "'", "\"", "&", "$", "#", "*", "(", ")", "|", "~", "`", "!", "{", "}", "%", "+", chr(0));
// ... a few rows later are whitespaces removed as well ...
preg_replace( '/[\r\n\t -]+/', '-', $filename )
ในที่สุดรายการของพวกเขารวมถึงตอนนี้ส่วนใหญ่ของตัวละครที่เป็นส่วนหนึ่งของURI rerserved อักขระและURL อักขระที่ไม่ปลอดภัยรายการ
แน่นอนว่าคุณสามารถเข้ารหัสอักขระเหล่านี้ทั้งหมดในเอาต์พุต HTML ได้ แต่นักพัฒนาส่วนใหญ่และฉันก็ทำตามสำนวน"ดีกว่าปลอดภัยกว่าขอโทษ"และลบออกล่วงหน้า
ในที่สุดฉันขอแนะนำให้ใช้สิ่งนี้:
function filter_filename($filename, $beautify=true) {
// sanitize filename
$filename = preg_replace(
'~
[<>:"/\\|?*]| # file system reserved https://en.wikipedia.org/wiki/Filename#Reserved_characters_and_words
[\x00-\x1F]| # control characters http://msdn.microsoft.com/en-us/library/windows/desktop/aa365247%28v=vs.85%29.aspx
[\x7F\xA0\xAD]| # non-printing characters DEL, NO-BREAK SPACE, SOFT HYPHEN
[#\[\]@!$&\'()+,;=]| # URI reserved https://tools.ietf.org/html/rfc3986#section-2.2
[{}^\~`] # URL unsafe characters https://www.ietf.org/rfc/rfc1738.txt
~x',
'-', $filename);
// avoids ".", ".." or ".hiddenFiles"
$filename = ltrim($filename, '.-');
// optional beautification
if ($beautify) $filename = beautify_filename($filename);
// maximize filename length to 255 bytes http://serverfault.com/a/9548/44086
$ext = pathinfo($filename, PATHINFO_EXTENSION);
$filename = mb_strcut(pathinfo($filename, PATHINFO_FILENAME), 0, 255 - ($ext ? strlen($ext) + 1 : 0), mb_detect_encoding($filename)) . ($ext ? '.' . $ext : '');
return $filename;
}
สิ่งอื่น ๆ ที่ไม่ก่อให้เกิดปัญหากับระบบไฟล์ควรเป็นส่วนหนึ่งของฟังก์ชันเพิ่มเติม:
function beautify_filename($filename) {
// reduce consecutive characters
$filename = preg_replace(array(
// "file name.zip" becomes "file-name.zip"
'/ +/',
// "file___name.zip" becomes "file-name.zip"
'/_+/',
// "file---name.zip" becomes "file-name.zip"
'/-+/'
), '-', $filename);
$filename = preg_replace(array(
// "file--.--.-.--name.zip" becomes "file.name.zip"
'/-*\.-*/',
// "file...name..zip" becomes "file.name.zip"
'/\.{2,}/'
), '.', $filename);
// lowercase for windows/unix interoperability http://support.microsoft.com/kb/100625
$filename = mb_strtolower($filename, mb_detect_encoding($filename));
// ".file-name.-" becomes "file-name"
$filename = trim($filename, '.-');
return $filename;
}
และ ณ จุดนี้คุณต้องสร้างชื่อไฟล์หากผลลัพธ์ว่างเปล่าและคุณสามารถตัดสินใจได้ว่าคุณต้องการเข้ารหัสอักขระ UTF-8 หรือไม่ แต่คุณไม่จำเป็นต้องใช้เช่นนั้นเนื่องจาก UTF-8 ได้รับอนุญาตในระบบไฟล์ทั้งหมดที่ใช้ในบริบทเว็บโฮสติ้ง
สิ่งเดียวที่คุณต้องทำคือใช้urlencode()(ตามที่คุณหวังไว้กับ URL ทั้งหมดของคุณ) ดังนั้นชื่อไฟล์საბეჭდი_მანქანა.jpgจึงกลายเป็น URL นี้เป็นของคุณ<img src>หรือ<a href>:
http://www.maxrev.de/html/img/%E1%83% A1% E1% 83% 90% E1% 83% 91% E1% 83% 94% E1% 83% AD% E1% 83% 93% E1% 83% 98_% E1% 83% 9B% E1% 83% 90% E1% 83% 9C% E1% 83% A5% E1% 83% 90% E1% 83% 9C% E1% 83% 90.jpg
Stackoverflow ทำเช่นนั้นดังนั้นฉันจึงสามารถโพสต์ลิงก์นี้ได้ตามที่ผู้ใช้ทำ:
http://www.maxrev.de/html/img/ საბეჭდი_მანქანა. jpg
ดังนั้นนี่คือชื่อไฟล์ที่สมบูรณ์และถูกต้องตามกฎหมายไม่ได้เป็นปัญหาเป็น@ SequenceDigitale.com กล่าวถึงในคำตอบของเขา