Dateiupload

[Der Martin]

Hi,

Jetzt dämmert es mir, was die sich dabei gedacht haben könnten. In einer Shared-Hosting-Umgebung wäre es denkbar, dass ein Administrator keine Ahnung hatte von PHP- und Domaineinrichtung, und das Upload-Tmp-Dir daher auf /tmp liegt - für alle Domains gemeinsam.

das ist auch das einzige Szenario, wo ich mir irgendein Sicherheitsproblem vorstellen könnte. Denn sonst dürfte die Rechteverwaltung des OS (ansatzweise sogar unter Windows) ja sowieso den Zugriff auf alles verweigern, was nicht dem Apache/PHP-User gehört. Oder anders gesagt: Wenn ich mich allein auf das Rechtesystem des OS verlasse, kann ich mit den normalen Dateisystemfunktionen von PHP lustig hin- und herkopieren, soweit das OS mich lässt, so dass eine weitere Einschränkung, wie move_uploaded_file() sie anscheinend macht, nicht nötig wäre.
Shared-Hosting, wo alle virtuellen Hosts unter dem gleichen Benutzer laufen, ist die einzige Situation, bei der man zusätzlich aufpassen muss.

Da wäre es also möglich, dass jemand mein gerade hochgeladenes File im Temporärverzeichnis manipuliert, bevor ich es verschoben habe in meinen Account.

Genau.

Das geht aber nur bei der Modulversion.

Mag sein; mit der CGI-Variante kenne ich mich nicht so gut aus.

Wir sollten uns mal von Christian Seiler einen Crashkurs geben lassen. Der wäre mir auch etliche Euronen wert :-)

Könnte ich mir auch vorstellen - aber welchen konkreten Themenschwerpunkt meintest du jetzt?

Alternativ beantrage ich Gehirn-Cloning ;-P

Das ist nach dem heutigen Stand der Wissenschaft AFAIK immer noch problematisch. ;-)

Ciao,
 Martin