php - $_SERVER['REMOTE_USER'] は偽装できますか?

Question

$_SERVER['REMOTE_USER'] 変数に基づいてファイルを開いている状況があります。これはスプーフィング可能ではないと思いますが、確認したいだけです。任意のファイルの読み取りに対して脆弱になりたくありません。

   <?
      $user = $_SERVER['REMOTE_USER'];
      $fp = fopen("./$user.png","r");
   ?>

Answer 1

はい、そのユーザー名は、リモート ユーザーによって指定されたものです。

パスワードも確認する必要があります。パスワードがアプリケーションではなくサーバーによって検証された場合、おそらく問題ありません。