Bezpečnosť uploadu

Každý názov a typ, ktorý sa dostane do úložiska, sa považuje za nedôveryhodný:

• Mime typ sa rozpozná z bajtov (ext-fileinfo) — nikdy sa nepreberá od klienta, z hlavičky Content-Type vzdialeného servera ani z metadát disku.
• Uložený názov je jeden bezpečný segment cesty. Časti adresárov, oddeľovače a riadiace znaky sa z názvu od klienta aj z usingFileName() odstránia, takže názov sa nikdy nedostane mimo adresára média.
• Prípona nemôže klamať o aktívnom obsahu. Prípona, ktorú môže webový server spustiť (.php, .phtml, .shtml, …), sa nikdy neuloží a prípona, ktorú spúšťa prehliadač (.html, .svg, .js, …), sa ponechá, len ak bajty naozaj zodpovedajú tomuto typu — PNG nahraté ako x.html sa uloží ako x.png. Pravdivé či neškodné prípony (IMG_0001.JPG, data.csv) zostanú.
• addFromUrl() sťahuje len URL s http/https a URL od používateľa mu môžete odovzdať bezpečne — ochranu zdieľa s MediaLibrary::remote() (pozrite Vzdialené URL). Každý krok sa kanonizuje a zostaví nanovo (prihlasovacie údaje v URL, číselné zápisy IPv4, spätná lomka či % v hoste a zone id v IPv6 sa odmietnu) a host, ktorý je, preloží sa alebo presmeruje na súkromnú, loopback, link-local (cloud metadata), carrier-grade NAT či inú rezervovanú adresu — IPv4 aj IPv6 — alebo je localhost, odmietne ešte pred akoukoľvek požiadavkou naň (SSRF). Presmerovania sleduje sám (media.remote.max_redirects, predvolene päť) a každý krok overí rovnako; každý názov hostu sa preloží raz a spojenie sa pripne na každú overenú adresu mimo proxy z prostredia, takže druhá odpoveď DNS nemôže podstrčiť internú.
• media.remote.headers idú len na vlastný pôvod URL — presmerovanie na iný pôvod ich nedostane, pokiaľ nezapnete media.remote.forward_headers_on_redirect — a media.remote.timeout je jeden rozpočet na celé sťahovanie vrátane všetkých krokov.
• Dôveryhodné interné hosty patria do media.remote.allowed_private_hosts (presné názvy hostov, adresy alebo rozsahy adresa/prefix); media.remote.block_private_networks => false ochranu vypne — len pre URL, ktorým plne dôverujete. Pripnutie vyžaduje ext-curl: bez neho sa názov hostu odmietne, priamo zadané adresy a povolené názvy hostov však fungujú. Internacionalizovaný alebo punycode (xn--) názov hostu vyžaduje ext-intl; bez neho sa odmietne.
• Sťahovanie z URL sa streamuje na disk a zastaví sa v momente, keď prekročí limit veľkosti — počítaný po dekomprimovaní —, či už server pošle Content-Length, alebo nie. Každé odmietnutie vyhodí RemoteFileRejected; odpoveď iná ako 2xx vyhodí FileDoesNotExist a zlyhanie spojenia sa prejaví ako ConnectionException od Laravelu.
• Obrázky sa zmerajú z hlavičky ešte pred dekódovaním: obrázok nad media.max_image_pixels (predvolene 50 megapixelov) sa uloží bez variantov aj náhľadov, takže malý súbor, ktorý deklaruje obrovské plátno, nevyčerpá pamäť. SVG sa na serveri nikdy nedekóduje — pozrite Varianty obrázkov.
• Skupina bez acceptsMimeTypes() prijme akýkoľvek typ vrátane HTML a SVG. Každej skupine s uploadmi od používateľov dajte allowlist.

Rovnako zabezpečené je aj servírovanie — v časti URL, streaming a sťahovanie nájdete, ktoré typy streamovacia routa servíruje inline a prečo súkromné médiá potrebujú súkromný disk.