php - ユーザーの入力でタイトルが付けられたフォルダを作成する

Question

PHPでは、ユーザーの入力をフォルダーのタイトルとして使用する必要があります。

例えば：

$foldername = $_REQUEST["foldername"];
mkdir("./userfolders/".$foldername);

なぜなら、これで私が目にする問題の1つは、入力に「../」が含まれている可能性があるためです。これにより、フォルダが親ディレクトリに書き込まれますが、これは望ましくありません。これに対する私の解決策はstr_replace、文字列からすべてのスラッシュを取り除くことでした。

私が見逃した他の脆弱性はありますか？

Answer 1

urlencodeフォルダ名変数で関数を使用できる可能性はありますか？フォルダをユーザーに表示するときに、を使用できますurldecode。

$foldername = urlencode($_REQUEST["foldername"]);
mkdir("./userfolders/".$foldername);

// Show folder name
echo urldecode($foldername);

Answer 2