PHPのbasename関数でマルチバイトのファイル名を用いる場合の注意

まずは以下のサンプルをご覧ください。サーバーはWindowsで、内部・外部の文字エンコーディングはUTF-8です。UTF-8のファイル名を外部から受け取り、Windowsなのでファイル名をShift_JISに変換してファイルを読み込んでいます。basename関数を通すことにより、ディレクトリトラバーサル対策を施しています。 <?php header('Content-Type: text/plain; charset=UTF-8'); $file_utf8 = basename($_GET['file']); $file_sjis = mb_convert_encoding($file_utf8, 'cp932', 'UTF-8'); $path = './data/' . $file_sjis; var_dump($path); readfile($path); しかし、ディレクトリト

[k-holy]

参考 http://d.hatena.ne.jp/hnw/20120501

[Kenji_s]

例えばWindowsを避ける

[kosh04]

Windows Phoneから送信

[deep_one]

『文字エンコーディングの変換はbasenameを通す前に行うこと』そういう順番の問題って、意外に多いんだよなぁ…

[app2641]

pathinfoでも同様なのかな

[y-Aki]

今時レガシー文字コードを避けるというのもあり なぜShift_JISを使うのか

[lyiase]

バージョン書かないとやばくね？PHP5.4未満のWindows環境でマルチバイトのローカルパスに関する操作って鬼門だし、PHP5.4より後でも「zend.multibyte」はOnにする前提が必要になる。

[ockeghem]

日記書いた