ファイルアップロード時に指定の拡張子以外の場合はエラーを返したい

Question

動画ファイルのアップロードで、mp4、mov以外のファイルをアップロード以外をアップロードされた場合、エラーを返して指定のページヘリダイレクトをさせたいのですが、上手く行えず質問をさせて頂きました。
movファイルをアップロード可能にしておりますので、form内のinputは下記のように設定しております。

<input id="upload_file" type="file" name="file_1" accept="video/mp4,video/x-m4v,video/*">

現在下記のコードを記載しており、この状態であれば、動画であれば全てアップロードできてしまう状態です。

if (!preg_match("{(.*?)video/(.*?)}", $mime)){
header('Location: https://リダイレクト先URL');exit;
}

そこでこのように書き換えみましたが、上手く作動しませんでした。

if (!preg_match("/.mp4$|.mov$/i", $mime)){
header('Location: https://リダイレクト先URL');exit;
}

色々試してみましたが、解決策が見つからず質問をさせていただきました。
よろしくお願いいたします。

Answer 1

根本的な問題として、アップロード時に送られてくるファイル名やContent-Typeは、送信側の自称に過ぎないので、「実際には実行ファイル」というようなファイルをごまかして送ることもできてしまいます。

実際にアップロードされたファイルにfileinfoを適用して、正しい形式を確認する、という流れが確実かと思います。

Comments

[fuuc0238]

ご回答頂きありがとうございます。
こちらの方法で構築を行ってみます。

Answer 2

ファイルアップロードで参考にしたい記事。

• ファイルアップロードの例外処理はこれぐらいしないと気が済まない

この記事の#アップロード例外処理サンプルで、mime_content_type()によるチェックを行っていますが、ここを「許可したいMIMEタイプ」に変更して他を調整すれば良いと思います。

MIMEタイプ一覧

Comments

[fuuc0238]

ご回答頂きありがとうございます。

Answer 3

拡張子を見るなら、mime-typeじゃなくてファイル名を見るべきですね。
何のために拡張子を限定したいかをよく考えないと、maisumakunさんの指摘のように無意味かも知れません。

Comments

[fuuc0238]

ご回答頂きありがとうございます。