PHP: Chargements de fichiers par méthode POST

Explication sur les messages d'erreurs de chargement de fichiers

Last updated: Fri, 14 Aug 2009

Chargements de fichiers par méthode POST

Cette fonctionnalité permet aux personnes de télécharger à la fois du texte et des fichiers binaires. Avec les fonctions d'identification et de manipulation de fichiers de PHP, vous avez le contrôle total pour définir qui a le droit de télécharger mais aussi ce qui sera fait du fichier une fois qu'il sera téléchargé.

PHP est capable de recevoir des fichiers émis par un navigateur conforme à la norme RFC-1867 (c'est-à-dire Netscape Navigator 3 ou supérieur, Microsoft Internet Explorer 3 avec un patch de Microsoft, ou supérieur sans le patch).

Note: Notes de configuration
Voir aussi les directives file_uploads, upload_max_filesize, upload_tmp_dir, post_max_size et max_input_time dans php.ini

PHP supporte aussi le chargement par la méthode PUT comme dans le navigateur Netscape Composer et Amaya du W3C. Reportez-vous au chapitre sur le support de la méthode PUT.

Exemple #1 Formulaire de chargement de fichier

Un formulaire de téléchargement de fichiers peut être construit en créant un formulaire spécifique comme ceci :

<!-- Le type d'encodage des données, enctype, DOIT être spécifié comme ce qui suit -->
<form enctype="multipart/form-data" action="_URL_" method="post">
  <!-- MAX_FILE_SIZE doit précéder le champs input de type file -->
  <input type="hidden" name="MAX_FILE_SIZE" value="30000" />
  <!-- Le nom de l'élément input détermine le nom dans le tableau $_FILES -->
  Envoyez ce fichier : <input name="userfile" type="file" />
  <input type="submit" value="Envoyer le fichier" />
</form>

_URL_ dans l'exemple précédent doit être remplacé et pointé vers un fichier PHP.

Le champ caché MAX_FILE_SIZE (mesuré en octets) doit précéder le champ input de type file et sa valeur représente la taille maximale acceptée du fichier par PHP. Il est très facile de contourner cette restriction. Ne comptez pas sur le respect de cette configuration par le navigateur ! La configuration de PHP sur la taille maximale à respecter ne peut être contournée, elle. Vous devez toujours ajouter cet élément de formulaire, car il prévient le chargement de gros fichiers qui demanderait un long délai d'attente au client et ainsi ferait échouer le script.

Note: Assurez-vous que votre formulaire de téléchargement de fichier contienne enctype="multipart/form-data", sinon, le fichier se sera pas téléchargé.

La variable globale $_FILES existe depuis PHP 4.1.0 (Utilisez $HTTP_POST_FILES si vous utilisez une version plus ancienne). Ce tableau devrait contenir toutes les informations du fichier téléchargé.

Le contenu du tableau $_FILES est détaillé dans notre exemple ci-dessous. Notez que l'on suppose que le nom de la variable du fichier téléchargé est userfile, tel que défini dans le formulaire ci-dessus, mais peut être n'importe quel nom.

$_FILES['userfile']['name']: Le nom original du fichier, tel que sur la machine du client web.
$_FILES['userfile']['type']: Le type MIME du fichier, si le navigateur a fourni cette information. Par exemple, cela pourra être "image/gif". Ce type mime n'est cependant pas vérifié du côté de PHP et, donc, ne prend pas sa valeur pour se synchroniser.
$_FILES['userfile']['size']: La taille, en octets, du fichier téléchargé.
$_FILES['userfile']['tmp_name']: Le nom temporaire du fichier qui sera chargé sur la machine serveur.
$_FILES['userfile']['error']: Le code d'erreur associé au téléchargement de fichier. Cet élément a été introduit en PHP 4.2.0.

Le fichier téléchargé sera stocké temporairement dans le dossier temporaire du système, à moins qu'un autre dossier soit fourni avec la directive upload_tmp_dir du php.ini. Le dossier par défaut du serveur peut être changé dans l'environnement via la variable TMPDIR. Modifier la valeur de cette variable avec la fonction putenv() dans un script PHP sera sans effet. Cette variable d'environnement peut aussi être utilisée pour s'assurer que d'autres opérations fonctionnent aussi sur les fichiers téléchargés.

Exemple #2 Validation de téléchargement de fichiers

Voyez aussi les fonctions is_uploaded_file() et move_uploaded_file() pour plus d'informations. L'exemple suivant va télécharger un fichier venant d'un formulaire.


<?php
// En PHP < 4.1.0, $HTTP_POST_FILES doit être utilisé
//    à la place de $_FILES.

$uploaddir = '/var/www/uploads/';
$uploadfile = $uploaddir . basename($_FILES['userfile']['name']);

echo '<pre>';
if (move_uploaded_file($_FILES['userfile']['tmp_name'], $uploadfile)) {
    echo "Le fichier est valide, et a été téléchargé
           avec succès. Voici plus d'informations :\n";
} else {
    echo "Attaque potentielle par téléchargement de fichiers.
          Voici plus d'informations :\n";
}

echo 'Voici quelques informations de débogage :';
print_r($_FILES);

echo '</pre>';

?>

Le script PHP qui reçoit le fichier chargé doit pouvoir gérer le fichier de manière appropriée. Vous pouvez utiliser la variable $_FILES['userfile']['size'] pour recaler tous les fichiers qui sont trop gros ou trop petits. Vous pouvez utiliser la variable $_FILES['userfile']['type'] pour écarter les fichiers qui n'ont pas le bon type, mais l'utiliser uniquement pour une série de vérifications, car cette valeur est complètement sous le contrôle du client et n'est pas vérifiée du côté de PHP. Depuis PHP 4.2.0, vous pouvez utiliser l'information dans $_FILES['userfile']['error'] et adapter votre politique en fonction des codes d'erreur. Quelque soit votre politique, vous devriez soit effacer le fichier du dossier temporaire, soit le déplacer.

Si aucun fichier n'est sélectionné dans le formulaire, PHP retournera 0 dans $_FILES['userfile']['size'] et rien du tout dans $_FILES['userfile']['tmp_name'].

Le fichier sera automatiquement effacé du fichier temporaire à la fin du script, s'il n'a pas été déplacé ou renommé.

Exemple #3 Envoi d'un tableau de fichiers

PHP supporte les tableaux en HTML ainsi qu'avec les fichiers.

<form action="" method="post" enctype="multipart/form-data">
<p>Images:
<input type="file" name="pictures[]" />
<input type="file" name="pictures[]" />
<input type="file" name="pictures[]" />
<input type="submit" value="Send" />
</p>
</form>


<?php
foreach ($_FILES["pictures"]["error"] as $key => $error) {
    if ($error == UPLOAD_ERR_OK) {
        $tmp_name = $_FILES["pictures"]["tmp_name"][$key];
        $name = $_FILES["pictures"]["name"][$key];
        move_uploaded_file($tmp_name, "data/$name");
    }
}
?>

La barre de progression de téléchargement peut être implémentée par apc.rfc1867.

Explication sur les messages d'erreurs de chargement de fichiers

Gestion des chargements de fichiers

Last updated: Fri, 14 Aug 2009

add a note User Contributed Notes
Chargements de fichiers par méthode POST

daevid at daevid dot com
11-Jun-2009 09:35


I think the way an array of attachments works is kind of cumbersome. Usually the PHP guys are right on the money, but this is just counter-intuitive. It should have been more like:



Array

(

    [0] => Array

        (

            [name] => facepalm.jpg

            [type] => image/jpeg

            [tmp_name] => /tmp/phpn3FmFr

            [error] => 0

            [size] => 15476

        )



    [1] => Array

        (

            [name] => 

            [type] => 

            [tmp_name] => 

            [error] => 4

            [size] => 

        )

)



and not this

Array

(

    [name] => Array

        (

            [0] => facepalm.jpg

            [1] => 

        )



    [type] => Array

        (

            [0] => image/jpeg

            [1] => 

        )



    [tmp_name] => Array

        (

            [0] => /tmp/phpn3FmFr

            [1] => 

        )



    [error] => Array

        (

            [0] => 0

            [1] => 4

        )



    [size] => Array

        (

            [0] => 15476

            [1] => 0

        )

)



Anyways, here is a fuller example than the sparce one in the documentation above:



<?php

foreach ($_FILES["attachment"]["error"] as $key => $error)

{

       $tmp_name = $_FILES["attachment"]["tmp_name"][$key];

       if (!$tmp_name) continue;



       $name = basename($_FILES["attachment"]["name"][$key]);



    if ($error == UPLOAD_ERR_OK)

    {

        if ( move_uploaded_file($tmp_name, "/tmp/".$name) )

            $uploaded_array[] .= "Uploaded file '".$name."'.<br/>\n";

        else

            $errormsg .= "Could not move uploaded file '".$tmp_name."' to '".$name."'<br/>\n";

    }

    else $errormsg .= "Upload error. [".$error."] on file '".$name."'<br/>\n";

}

?>

eslindsey at gmail dot com
30-Mar-2009 07:09


Also note that since MAX_FILE_SIZE hidden field is supplied by the browser doing the submitting, it is easily overridden from the clients' side.  You should always perform your own examination and error checking of the file after it reaches you, instead of relying on information submitted by the client.  This includes checks for file size (always check the length of the actual data versus the reported file size) as well as file type (the MIME type submitted by the browser can be inaccurate at best, and intentionally set to an incorrect value at worst).

claude dot pache at gmail dot com
19-Mar-2009 05:26


Note that the MAX_FILE_SIZE hidden field is only used by the PHP script which receives the request, as an instruction to reject files larger than the given bound. This field has no significance for the browser, it does not provide a client-side check of the file-size, and it has nothing to do with web standards or browser features.

add a note

Explication sur les messages d'erreurs de chargement de fichiers

Gestion des chargements de fichiers

Last updated: Fri, 14 Aug 2009