PHP file_put_contents函数安全隐患及应对策略详解？

本文共计832个文字，预计阅读时间需要4分钟。

前言：最近在EIS上遇到一道文件上传的题目，过滤了很多，基本姿势都试过了，想了很久都没有做出来，赛后才知道是利用数组来绕过的。下面分析了下原理，不多说，一起来试试。

分析原理，一起看看。

前言

最近在EIS上遇到一道文件上传的题，发现过滤了<,这样基本很多姿势都无效了，想了很久没做出来这题，赛后才知道是利用数组来绕过, 这里分析了下原理，话不多说了，来一起看看详细的介绍吧。

来看下file_put_contents函数第二个参数data的官网定义:

data 要写入的数据。类型可以是 string，array 或者是 stream 资源（如上面所说的那样）。 如果 data 指定为 stream 资源，这里 stream 中所保存的缓存数据将被写入到指定文件中，这种用法就相似于使用 stream_copy_to_stream() 函数。 参数 data 可以是数组（但不能为多维数组），这就相当于 file_put_contents($filename, join('', $array))。

可以看到，data参数可以是数组, 会自动做join('',$array)转换为字符串的

该函数访问文件时，遵循以下规则：

• 如果设置了 FILE_USE_INCLUDE_PATH，那么将检查 *filename* 副本的内置路径
• 如果文件不存在，将创建一个文件
• 打开文件
• 如果设置了 LOCK_EX，那么将锁定文件
• 如果设置了 FILE_APPEND，那么将移至文件末尾。