脆弱性 <input type="file" />

Question

クリックするとファイル選択が出ると思います
このデータは<input type="text">などの入力と違い、
ファイル選択を通過しない限り、
外部(コンソール、ヘッダー、リクエストボディ等)から値は設定できない、
POSTできない仕様という認識で間違いないでしょうか

送信されたデータはサーバ側でPHP $_FILES['file']で受け取っています

$_FILES['file']の中身を受け取る方法として、
ファイル選択を通過しないで設定させる事は可能なんでしょうか？

<input type="file" name="file" id="file"/>

Comments

[m.ts10806]

調べたこと試したことを記載してください

Answer 1

一般的なブラウザではセキュリティ的に無理ですね。
任意に特定の環境をつくればファイルの自動送信は可能です

Comments

[teratailer]

Aという第三者のサイトに<input type="file" />が置いてありました
ある特殊な環境を作れば自動送信も可能ということでしょうか？

[yambejp]

・アップローダーのツールを使う
・作業自動化ツールを使う
・デバッグ用のアドオンがあれば利用する
などいくつか考えられますが、他人のPCから無手順で自動にファイルを抜き取ることはできません。

Answer 2

既に回答があるとおりですが、

HTMLフォームでブラウザからローカルファイルを指定したい場合

　これはセキュリティ上の理由で「できない」が正解です。仮にこれができてしまうと、悪意のあるサイトを訪問すると、パソコン上のファイルに勝手に盗まれてしまうため、意図的にできないようになっています。

アプリケーション側で用意したデータをファイルアップロード形式で送信したい場合

　これはJavaScriptを用いればできます。

Answer 3

ファイル選択を通過しないで設定させる事は可能なんでしょうか？

ローカルディスク上のファイルでなければ（インターネットから取得する、もしくはJavaScriptでデータを生成するなどして）、JavaScriptから指定することは可能です。