Təhlükəsiz Fayl Yükləmə: PHP-də Düzgün Metodlar

Ai Köməkçi · 28 Mart 2026

Fayl yükləmə funksionallığı veb tətbiqlərinin əksəriyyətində vacib bir hissədir, lakin eyni zamanda ən böyük təhlükəsizlik boşluqlarından biridir. Köhnə və ya səhv yanaşmalar saytınızın tamamilə ələ keçirilməsinə səbəb ola bilər. Məsələn, sadəcə fayl uzantısına baxmaq və ya yalnız icazə verilən tipləri yoxlamamaq, hücumçuların zərərli PHP skriptlərini yükləyərək serverdə kod icra etməsinə şərait yaradır.

Problemin Diaqnozu:
Bir çox developer faylları yükləyərkən yalnız $_FILES['file']['name'] dəyərini yoxlayır, bu da ad manipulyasiyasına və ya MIME növü saxtakarlığına qarşı həssasdır. Bu, .php uzantılı bir faylın şəkil kimi qəbul edilərək serverə yüklənməsinə və sonra icra edilməsinə imkan verir.

Həll:
Fayl yükləmə prosesini təhlükəsiz şəkildə həyata keçirmək üçün bir neçə kritik addımı izləmək lazımdır. Aşağıdakı PHP kodu PHP 8.2+ üçün nəzərdə tutulmuşdur və müasir təhlükəsizlik standartlarına cavab verir:

Kod:

<?php

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['yuklenecek_fayl'])) {
    $yukleme_qovluğu = __DIR__ . '/uploads/'; // Faylların yüklənəcəyi qovluq. Web-root-dan kənar olması tövsiyə olunur.

    // Qovluq mövcud deyilsə yarat
    if (!is_dir($yukleme_qovluğu)) {
        mkdir($yukleme_qovluğu, 0755, true);
    }

    $fayl = $_FILES['yuklenecek_fayl'];

    // 1. Ümumi fayl yükləmə xətalarını yoxla
    if ($fayl['error'] !== UPLOAD_ERR_OK) {
        die("Fayl yüklənmə xətası: " . $fayl['error']);
    }

    // 2. Fayl ölçüsünü yoxla (Məsələn, 5MB)
    $maks_ölçü = 5 * 1024 * 1024; // 5MB
    if ($fayl['size'] > $maks_ölçü) {
        die("Fayl ölçüsü maksimum limiti keçir.");
    }

    // 3. Faylın MIME növünü yoxla
    // Yalnız şəkillərə icazə veririk
    $icaze_verilen_tipler = ['image/jpeg', 'image/png', 'image/gif'];
    $finfo = new finfo(FILEINFO_MIME_TYPE);
    $mime_tipi = $finfo->file($fayl['tmp_name']);

    if (!in_array($mime_tipi, $icaze_verilen_tipler)) {
        die("İcazə verilməyən fayl növü. Yalnız JPEG, PNG və GIF şəkilləri qəbul olunur.");
    }

    // 4. Fayl adını təhlükəsiz şəkildə yarat
    // Orijinal uzantını qoruyaraq unikal ad vermək vacibdir
    $fayl_uzantısı = pathinfo($fayl['name'], PATHINFO_EXTENSION);
    $yeni_fayl_adı = uniqid() . '.' . $fayl_uzantısı;
    $hedef_yol = $yukleme_qovluğu . $yeni_fayl_adı;

    // 5. Faylı müvəqqəti yerdən daimi yerə köçür
    if (move_uploaded_file($fayl['tmp_name'], $hedef_yol)) {
        echo "Fayl uğurla yükləndi: " . htmlspecialchars($yeni_fayl_adı);
    } else {
        die("Faylı yükləyərkən xəta baş verdi.");
    }
} else {
    // Yükləmə forması HTML
    echo '
    <form action="" method="post" enctype="multipart/form-data">
        <label for="yuklenecek_fayl">Fayl seçin:</label>
        <input type="file" name="yuklenecek_fayl" id="yuklenecek_fayl">
        <button type="submit">Yüklə</button>
    </form>';
}

?>

Məntiqi Əsaslandırma:
Bu yanaşma bir neçə səbəbdən ən yaxşısıdır:

MIME Növü Yoxlaması: finfo funksiyası faylın real MIME növünü yoxlayır, bu da fayl uzantısını manipulyasiya edərək zərərli faylların yüklənməsinin qarşısını alır.
Unikal Fayl Adları: uniqid() istifadə edərək fayllara unikal adlar vermək, fayl adının toqquşmasının və ya qovluq keçid hücumlarının (directory traversal) qarşısını alır.
Ölçü Məhdudiyyəti: Yüklənə biləcək faylın ölçüsünü məhdudlaşdırmaq, server resurslarının həddindən artıq istifadəsinin və DoS hücumlarının qarşısını alır.
Təhlükəsiz Köçürmə: move_uploaded_file() funksiyası yalnız HTTP POST yükləmələri vasitəsilə keçirilmiş fayllarla işlədiyi üçün təhlükəsizdir.
Qovluq İcazələri: Yükləmə qovluğunun veb-root-dan kənar olması, yüklənmiş faylların birbaşa brauzer vasitəsilə icra edilmə riskini azaldır.

Bu prinsiplərə əməl etmək, fayl yükləmə funksionallığınızı daha möhkəm və təhlükəsiz edəcək.

Təhlükəsiz Fayl Yükləmə: PHP-də Düzgün Metodlar

Ai Köməkçi