Upload de fichiers en PHP

L’upload de fichier via le formulaire adapté se fait non pas par le protocole FTP, mais HTTP.

Pour simplifier, les données dont le fichier uploadé est constitué sont envoyées de la même manière que les données classiques d’un formulaire, mais en utilisant une « frontière » (boundary en anglais) pour séparer les données du fichier des données classiques du formulaire. On parle alors d’un flot de données multiple ^[1].

Tout comme pour les emails donc, chaque partie du flot de données est accompagnée d’entêtes de description (type MIME, taille des données, etc…).

Pour en savoir plus, reportez vous à la RFC 1867 (cf lien en bas de page).

Formulaire d’upload PHP

Passons maintenant à la pratique 🙂

Pour uploader un fichier, il nous faut d’abord constituer le formulaire adéquat.

En dehors, d’éventuels champs texte, password, checkbox ou autre, il nous faut placer un champ de type file. Il nous faut également spécifier que le formulaire est constitué de plusieurs parties (les données classiques, et les données du fichier). Pour cela, nous ajouterons l’attribut enctype avec la valeur multipart/form-data à la balise form du code HTML.

Voici un formulaire de base, avec uniquement le champ de type file et le bouton de soumission :

<form method="post" enctype="multipart/form-data" action="upload.php">
<p>
<input type="file" name="fichier" size="30">
<input type="submit" name="upload" value="Uploader">
</p>
</form>

Nous avons donné au champ de type file le nom « fichier ». Cela nous servira pour traiter le fichier uploadé.

Vous pouvez également ajouter un champ de type hidden avec pour nom MAX_FILE_SIZE et valeur la taille maximale en octet, que le fichier peut faire.

Réception et traitement

Une fois le formulaire soumis, et si tout se passe correctement, le fichier est alors copié dans le dossier temporaire des fichiers uploadés ^[2] mais n’est pas encore présent sur l’espace du site, il nous faudra le copier sur notre espace web.

Quoi qu’il arrive, le fichier est supprimé du dossier temporaire à la fin de l’éxécution du script.

Le fichier uploadé est disponible via le tableau global $_FILES ($HTTP_POST_FILES si vous êtes avec PHP < 4.1.0) ou directement avec le nom que l’on a donné au formulaire si registar_globals est fixé à on dans la configuration de PHP.

Nous avons alors les variables suivantes (avec ici « fichier » pour le nom du champ de type file) :

$_FILES['fichier']['name']

Contient le nom d’origine du fichier

$_FILES['fichier']['tmp_name']

Nom temporaire du fichier dans le dossier temporaire du système

$_FILES['fichier']['type']

Contient le type MIME du fichier

$_FILES['fichier']['size']

Contient la taille du fichier en octets

$_FILES['fichier']['error']

Code de l’erreur (le cas échéant) (disponible à partir de php 4.2.0)

Première chose à faire, vérifier que l’opération s’est bien passée en vérifiant la présence du fichier dans le dossier temporaire; pour cela, nous avons à notre disposition la fonction is_uploaded_file().

Ensuite, vérifier ce qui nous a été envoyé; Si on s’attend à une image, on vérifie si l’extension est correcte par exemple.

Une fois que l’on est sùr que tout est ok, on copie le fichier sur notre espace web à l’aide de la fonction move_uploaded_file() qui est plus sùre que la fonction copy(), car elle vérifie que le fichier à copier vient bien du dossier temporaire (et donc, provient d’un formulaire d’upload).

A partir de PHP 4.2.0, vous avez également un index error dans le tableau $_FILES['fichier'], vous indiquant plus précisément les raisons d’un éventuel échec.

Voici les différents codes et l’erreur leur correspondant :

UPLOAD_ERR_OK

Valeur : 0; Aucune erreur, le fichier a bien été uploadé

UPLOAD_ERR_INI_SIZE

Valeur : 1; Le fichier excède le poids autorisé par la directive upload_max_filesize de php.ini

UPLOAD_ERR_FORM_SIZE

Valeur : 2; Le fichier excède le poids autorisé par le champ MAX_FILE_SIZE s’il a été donné

UPLOAD_ERR_PARTIAL

Valeur : 3; Le fichier n’a été uploadé que partiellement

UPLOAD_ERR_NO_FILE

Valeur : 4; Aucun fichier n’a été uploadé

Voici notre fichier PHP qui traitera les données du formulaire.

Nous partons ici du principe que nous voulons un fichier image en réception.

<?php

if( isset($_POST['upload']) ) // si formulaire soumis
{
    $content_dir = 'upload/'; // dossier où sera déplacé le fichier

    $tmp_file = $_FILES['fichier']['tmp_name'];

    if( !is_uploaded_file($tmp_file) )
    {
        exit("Le fichier est introuvable");
    }

    // on vérifie maintenant l'extension
    $type_file = $_FILES['fichier']['type'];

    if( !strstr($type_file, 'jpg') && !strstr($type_file, 'jpeg') && !strstr($type_file, 'bmp') && !strstr($type_file, 'gif') )
    {
        exit("Le fichier n'est pas une image");
    }

    // on copie le fichier dans le dossier de destination
    $name_file = $_FILES['fichier']['name'];

    if( !move_uploaded_file($tmp_file, $content_dir . $name_file) )
    {
        exit("Impossible de copier le fichier dans $content_dir");
    }

    echo "Le fichier a bien été uploadé";
}

?>

Bien entendu, rien ne vous oblige à garder le nom d’origine (disponible dans $_FILES['fichier']['name']) du fichier lorsque vous le copiez sur votre espace web. Vous pouvez parfaitement lui attribuer un autre nom. ^[3]

<?php
$fw = fopen("hack.php\0.png", "w");
fwrite($fw, "<?php echo 'Je vous ai hacké'; ");
fclose($fw);

if( preg_match('#[\x00-\x1F\x7F-\x9F/\\\\]#', $name_file) )
{
    exit("Nom de fichier non valide");
}
else if( !move_uploaded_file($tmp_file, $content_dir . $name_file) )
{
    exit("Impossible de copier le fichier dans $content_dir");
}

Informations complémentaires

Le protocole HTTP n’est pas, à l’origine, prévu pour l’upload de fichiers. Cette utilisation doit donc rester marginale, d’autant plus que la taille des fichiers uploadés est limitée par la directive upload_max_filesize dans le fichier de configuration de php. Par défaut, elle est fixée à 2 Mo, mais une limite peut également être fixée dans la configuration du serveur.

Enfin, la plupart des hébergeurs gratuit désactivent la possibilité d’uploader des fichiers par cette méthode ^[4], donc vérifiez d’abord si l’upload est autorisé sur votre serveur 😉

Liens connexes

• Chargements de fichiers par méthode POST
• La RFC 1867 sur l’upload de fichiers via le protocole HTTP

• [1] : En fait, on a ici le même principe que pour les emails avec pièces jointes, voir l’article sur l’envoi d’emails
• [2] : Celui ci est défini dans le fichier php.ini par la directive upload_tmp_dir
• [3] : Par exemple en générant un nom aléatoire pour éviter d’écraser un autre fichier portant le même nom dans le répertoire de stockage
• [4] : Directive file_uploads à on/off dans le fichier php.ini