验证 base64 编码的图像

php security validation base64

2022-08-30 15:15:50

我正在构建一个应用程序，该应用程序允许用户使用HTML5画布数据，然后将其编码为base64并显示给所有用户。我正在考虑将数据解析为实际的.png文件并存储在服务器上，但base64路由允许我将图像存储在数据库中并最大限度地减少请求。图像是唯一的，很少，页面不会经常刷新。POST

一点jQuery将获取画布数据，并将其传递给PHP脚本，该脚本将其包装如下：data:image/png;base64,iVBORw...<img src="$data"></img>

但是，安全性是基石，需要验证 base64 画布数据，以防止在请求中传递恶意数据。我主要关心的是防止外部URL被注入代码并在页面加载时被请求。POST<img>

我目前有一个这样的设置：

$data = (isset($_POST['canvas']) && is_string($_POST['canvas'])) ? $_POST['canvas'] : null;
$base = str_replace('data:image/png;base64,', '', $data);
$regx = '~^([A-Za-z0-9+/]{4})*([A-Za-z0-9+/]{4}|[A-Za-z0-9+/]{3}=|[A-Za-z0-9+/]{2}==)$~'

if ((substr($data, 0, 22)) !== 'data:image/png;base64,')
{
  // Obviously fake, doesn't contain the expected first 22 characters.
  return false;
}

if ((base64_encode(base64_decode($base64, true))) !== $base64)
{
  // Decoding and re-encoding the data fails, something is wrong
  return false;
}

if ((preg_match($regx, $base64)) !== 1) 
{
  // The data doesn't match the regular expression, discard
  return false;
}

return true;

我想确保我当前的设置足够安全，以防止将外部 URL 插入到代码中，如果没有，可以采取哪些措施来进一步验证图像数据？<img>

答案 1

一种方法是从base64数据实际创建一个图像文件，然后用PHP验证图像本身。可能有一种更简单的方法可以做到这一点，但这种方式肯定应该有效。

请记住，这仅适用于PNG，如果您计划允许更多文件类型（GIF，JPG），则需要添加一些逻辑。

<?

$base64 = "[insert base64 code here]";
if (check_base64_image($base64)) {
    print 'Image!';
} else {
    print 'Not an image!';
}

function check_base64_image($base64) {
    $img = imagecreatefromstring(base64_decode($base64));
    if (!$img) {
        return false;
    }

    imagepng($img, 'tmp.png');
    $info = getimagesize('tmp.png');

    unlink('tmp.png');

    if ($info[0] > 0 && $info[1] > 0 && $info['mime']) {
        return true;
    }

    return false;
}

?>

答案 2

如果您使用的是php 5.4 +，我已经修改了上面的内容以使其更加简洁。

function check_base64_image($data, $valid_mime) {
    $img = imagecreatefromstring($data);

    if (!$img) {
        return false;
    }

    $size = getimagesizefromstring($data);

    if (!$size || $size[0] == 0 || $size[1] == 0 || !$size['mime']) {
        return false;
    }

    return true;
}