PHPMailerの添付ファイルの処理について テンポラリーファイル名とファイル名の違いを使った処理？

Question

PHPMAILERの勉強をしています。
フォームからアップロードされた
添付のファイルを処理するこの2行が理解できないので、質問させて頂きました。

  $uploadfile = tempnam(sys_get_temp_dir(), hash('sha256', $_FILES['userfile']['name']));
    if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)) {

１行目
アップロードされたファイル名から
テンポラリーの場所に、HASH処理した新しいファイル名でファイルを作成
$uploadfileはそのファイルのパスを文字列で返す

２行目
アップロードされたファイルのテンポラリー名から、１行目で作った場所に動かす。

このような処理をする理由はなぜでしょうか？
move_uploaded_fileがうまくいかない時はどのような時でしょうか？
ファイル名とテンポラリーファイル名って名前が違うだけで同じだから、上書きできる、ということでしょうか？

ご教示いただけましたら幸いです。

ありがとうございます。

Answer 1

$_FILES['userfile']['name'] にはユーザーが任意につけたファイル名が代入されていますね。（ここについて説明は流石に不要ですよね…）例えば、「参考資料.xlsx」のようになっています。ここでこのファイル名をそのまま保存するファイル名に使うというサンプルコードもたまに見かけますが、バッドノウハウです。

というのも、クライアントOSがWINDOWSの場合、サーバーOSがLinuxの場合などでは文字コードが異なるため、Linuxでファイル指定できず、ファイルを取り出せないという事態が起こりうるのです。なので、hash('sha256',...) を利用することで、ファイル名を半角英数字に変換してしまおうというのです。

ただし！提示されたコードには問題があります。

たとえば、ほぼ同時にAさんが「参考資料.xlsx」というファイルをアップロードします。たまたま同じ時間にBさんが「参考資料.xlsx」というファイルをアップロードします。このときどうなるでしょう。

hash('sha256', $_FILES['userfile']['name']) で生成されるファイル名は、いつでも同じものになります。ファイルの保存先も同位置のディレクトリなので、一瞬でも後に処理されたファイルの内容で上書きされてしまいます。

tempnam() を使っているので、上書きはされませんでしたね。となると、hash('sha256', $_FILES['userfile']['name'])を使うことは無意味。tempnam()だけ使えば十分。

Aさん、もしくはBさんはアップロードしたファイルでない別物のファイルをアップロードしたことになります。
この辺りの仕様はもう一度見直しましょう。

Comments

[退会済みユーザー]

ありがとうございます。同時にアップロードするとそのような怖い事態になるんですね！
もしご時間ございましたら、2行目についても教えていただけますでしょうか・・・
if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)) {
どうしてわざわざこれをしているのかわかりません。
サイズの大きさをフォームで指定しているので、それをこの2行目でチェックしているのでしょうか？
<input type="hidden" name="MAX_FILE_SIZE" value="100000">

[退会済みユーザー]

マニュアル読んでいます？
http://php.net/manual/ja/function.move-uploaded-file.php
流石にマニュアルに書いてあることを聞かれても…

[退会済みユーザー]

ごめんなさい。関数が何をするかは読んで理解できたのですが、なぜそうするのは読んでも分からなかったので質問させていただきました。テンポラリーファイル名を、処理した名前に書き換えるためという理解でいいでしょうか？

[退会済みユーザー]

名前を書き換えることが目的なら、move_uploaded_fileという関数名は不適当ではありませんか？アップロードしたファイルを移動するのが目的だから、そういう名前になっているわけだし。

アップロードされたファイルは、どこのディレクトリに保存されるかはご存知ですか？

[退会済みユーザー]

返信ありがとうございます。
$_FILES['userfile']['tmp_name']はC:\xampp\tmp\でしたが、
sys_get_temp_dir（）は、ローカルでした。C:\Users\name\AppData\Local\Temp
ファイルを移動させるのは、なぜですか？
<?php
if(isset($_POST['submit'])){
var_dump($_FILES['userfile']['tmp_name']);
echo sys_get_temp_dir();
}

[退会済みユーザー]

Linuxサーバーなどでは、/tmp 以下のファイルがアップロードされます。
/tmp はあらゆるプログラムから書き込みされるディレクトリだし、定期的に削除されます。つまりここに置いたままではファイルは削除されるので移動しなければなりません。

[退会済みユーザー]

ありがとうございました！