Dedecms教程：DEDE中“Upload filetype not allow”问题的原因分析

在网站开发和维护过程中，安全性始终是一个不可忽视的重要议题。如果你按照某些朋友的建议，通过删除代码的方式来解决DEDE系统中的问题，那么需要重新审视这种方法的安全性。这种做法不仅不能彻底解决问题，还可能给网站带来极大的安全隐患。

DEDE系统本身存在较多的安全隐患，任何不安全的修改或操作都可能导致整个网站的安全风险增加。因此，我们需要以更加科学和安全的方式去处理这些问题。

以下是一个常见的问题场景及其解决方案：

在DEDE系统的文件上传功能中，有一段代码用于验证上传文件的类型是否合法。以下是相关代码片段：

$imtypes = array("image/pjpeg","image/jpeg","image/gif","image/png","image/xpng","image/wbmp","image/bmp"); 
 if(in_array(strtolower(trim(${$_key.'_type'})),$imtypes)) 
 { 
 $image_dd = @getimagesize($$_key); 
 if (!is_array($image_dd)) 
 { 
 exit('Upload filetype not allow !'); 
 } 
 }

这里的$$_key，指的是上传文件的临时路径，例如“d:/php/temp/aaa.tmp”。从这段代码可以看出，getimagesize($$_key)方法尝试读取PHP临时目录的权限。如果目标目录（如d:/php/temp）没有适当的读取权限，就会导致无法读取的错误。

然而，在实际运行中，@getimagesize($$_key)返回的值可能是False。这是因为DEDE的开发者简单地使用了@符号来屏蔽错误提示，而没有考虑到权限问题。这使得用户误以为是文件类型不被允许，而实际上是因为目录权限不足导致的问题。

为了解决这个问题，可以采取以下两种方法：

1. 在PHP.ini配置文件中，确保临时目录（如d:/php/temp）具有读写权限。通常情况下，这个目录已经是可读写的，因为如果不可读写，任何文件都无法成功上传。

2. 对于部分虚拟主机用户，可能已经添加了php_admin_value open_basedir指令限制了PHP脚本的访问范围。在这种情况下，需要将临时目录的权限也添加进去。例如："php_admin_value open_basedir "E:/wwwroot/www.a.com;D:/PHP/temp"。

完成上述设置后，请记得重启Web服务器以使更改生效。这样就可以有效解决因权限不足而导致的文件上传失败问题。

总之，在面对类似问题时，我们应该避免简单粗暴地删除代码，而是深入分析问题根源并采取合理措施加以解决。这样才能既保证功能正常运行，又不影响系统的整体安全性。

推荐阅读