ユーザが入力するファイル名について(PHP)

Question

PHPでユーザがファイルをアップロードできるフォームがあり、それらのファイル名を[id][lastname][firstname].pdfという形にしたいと考えています。

ファイル名はユーザによって入力されているのですが、ファイル名の中にスラッシュを入れてしまわないかが不安になっています。

ユーザが名前を設定する際に何か制限を設けようかとは思っていません。

もともとの名前がわかるのであればファイル名の中の名前を少し変えてもいいと思っています。他に何か避けるべき文字はありますか？

mysql_real_escape_stringを使う案も考えていますが、他にいい方法がありましたら教えて下さい。

Answer 1

mysql_real_escape_string()関数を使用してもスラッシュを避けることは出来ないですし、escapeshellarg()関数を使っても不可能だと思います。

下記のstr_replace()関数を使った方法がいいと思います。

$path = 'uploads/1_yamada_kenji/hogehoge.pdf';
$file_name = str_replace('/' , '_', $path);