【PHP8.x】mime_content_type関数の使い方

Copy
1<?php
2
3/**
4 * ファイルの MIME タイプを安全に判別する例
5 *
6 * mime_content_type 関数は、設定によってはセキュリティ上のリスクを伴う可能性があるため、
7 * より安全な方法で MIME タイプを判別する例を示します。
8 * 特に、悪意のあるファイル名による bypass を防ぐために、ファイルの内容を検査することを推奨します。
9 *
10 * @param string $filename ファイルパス
11 * @return string|false MIME タイプ (成功時) または false (失敗時)
12 */
13function getSafeMimeType(string $filename): string|false
14{
15    // ファイルが存在するか確認
16    if (!is_file($filename)) {
17        return false;
18    }
19
20    // ファイルの内容を読み込む (マジックナンバーによる判定)
21    $fileHandle = fopen($filename, 'rb');
22    if ($fileHandle === false) {
23        return false;
24    }
25
26    $magicNumber = fread($fileHandle, 32); // 最初の32バイトを読み込む
27    fclose($fileHandle);
28
29    // 簡易的なマジックナンバー判定 (より厳密な判定には、より多くのマジックナンバーをチェックする必要がある)
30    if (strpos($magicNumber, 'GIF87a') === 0 || strpos($magicNumber, 'GIF89a') === 0) {
31        return 'image/gif';
32    } elseif (strpos($magicNumber, "\xFF\xD8\xFF") === 0) {
33        return 'image/jpeg';
34    } elseif (strpos($magicNumber, "\x89PNG\x0D\x0A\x1A\x0A") === 0) {
35        return 'image/png';
36    }
37
38    // mime_content_type を使用する場合（非推奨だが、代替手段がない場合）
39    // php.ini の設定 (magic_quotes_gpc, mime_magic.magicfile) に注意し、
40    // 可能な限り、マジックナンバーによる判定を優先する。
41    //
42    // return mime_content_type($filename);
43
44    // デフォルトのMIMEタイプ
45    return 'application/octet-stream';
46}
47
48// 使用例
49$filename = 'example.txt'; // 適切なファイルパスに変更してください
50
51// テスト用のファイルを作成
52file_put_contents($filename, "This is a test file.\n");
53
54$mimeType = getSafeMimeType($filename);
55
56if ($mimeType !== false) {
57    echo "MIME Type of $filename: " . $mimeType . PHP_EOL;
58} else {
59    echo "Failed to determine MIME type of $filename." . PHP_EOL;
60}
61
62unlink($filename); // テストファイルを削除
63?>

mime_content_type関数は、PHP 8.4で提供されているファイルの内容からMIMEタイプを判別する関数です。引数には、MIMEタイプを調べたいファイルのパス（$filename）を文字列で指定します。関数の戻り値は、判別できたMIMEタイプを文字列で返します。判別に失敗した場合はfalseを返します。

ただし、mime_content_type関数は、ファイル名や拡張子を基にMIMEタイプを推測するため、セキュリティ上のリスクがあります。例えば、悪意のあるユーザーがファイル名を偽装することで、意図しないMIMEタイプとして認識させることが可能です（bypass）。

サンプルコードでは、より安全なMIMEタイプ判別方法として、getSafeMimeType関数を定義しています。この関数では、まずファイルが存在するか確認し、存在する場合はファイルの内容（マジックナンバー）を読み込んで、MIMEタイプを判別します。マジックナンバーとは、ファイルの種類を特定するための特定のバイト列です。サンプルコードでは、GIF、JPEG、PNGファイルの簡単なマジックナンバー判定を実装しています。

mime_content_type関数の利用は、代替手段がない場合に限定することを推奨します。もし利用する場合は、php.iniの設定（magic_quotes_gpc, mime_magic.magicfile）に注意し、可能な限りマジックナンバーによる判定を優先すべきです。サンプルコードでは、テスト用のファイルを作成し、getSafeMimeType関数を使ってMIMEタイプを判別する例を示しています。最後に、テストファイルを削除して終了します。

Copy
1<?php
2
3/**
4 * ファイルのMIMEタイプを判別するサンプルコード
5 *
6 * mime_content_type関数が期待通りに動作しない場合の対応策を含む
7 */
8
9$filename = 'example.txt'; // 判別したいファイルのパス
10
11// ファイルが存在するか確認
12if (!file_exists($filename)) {
13    echo "ファイルが存在しません: " . $filename . PHP_EOL;
14    exit(1);
15}
16
17// mime_content_type関数を使用 (非推奨)
18//ini_set('mime_magic.magicfile', '/path/to/magic.mime'); // magic.mimeファイルのパスを設定する必要がある場合
19
20$mime_type = mime_content_type($filename);
21
22if ($mime_type === false) {
23    echo "MIMEタイプの判別に失敗しました。" . PHP_EOL;
24
25    // fileinfo拡張モジュールを利用したMIMEタイプの判別 (推奨)
26    if (function_exists('finfo_open')) {
27        $finfo = finfo_open(FILEINFO_MIME_TYPE);
28        if ($finfo) {
29            $mime_type = finfo_file($finfo, $filename);
30            finfo_close($finfo);
31
32            if ($mime_type !== false) {
33                echo "fileinfo拡張モジュールによるMIMEタイプ: " . $mime_type . PHP_EOL;
34            } else {
35                echo "fileinfo拡張モジュールでもMIMEタイプの判別に失敗しました。" . PHP_EOL;
36            }
37        } else {
38            echo "fileinfoの初期化に失敗しました。" . PHP_EOL;
39        }
40    } else {
41        echo "fileinfo拡張モジュールがインストールされていません。" . PHP_EOL;
42    }
43
44} else {
45    echo "mime_content_type関数によるMIMEタイプ: " . $mime_type . PHP_EOL;
46}

このPHPサンプルコードは、mime_content_type関数を使用してファイルのMIMEタイプ（ファイルの種類を表す文字列）を判別する方法を示しています。mime_content_type関数は、引数としてファイル名（string $filename）を受け取り、MIMEタイプを表す文字列（string）を返します。MIMEタイプの判別に失敗した場合はfalseを返します。

この関数は、システムのmagicファイル（MIMEタイプのデータベース）に依存しており、環境によっては期待通りに動作しない場合があります。mime_content_type関数がfalseを返した場合、またはPHP 8.2以降では非推奨であるため、fileinfo拡張モジュールを利用した代替手段が推奨されます。

サンプルコードでは、まずfile_exists関数でファイルが存在するか確認します。次に、mime_content_type関数を呼び出してMIMEタイプの判別を試みます。もし判別に失敗した場合、fileinfo拡張モジュールが利用可能かどうかを確認し、finfo_open、finfo_file、finfo_close関数を使用してMIMEタイプを判別します。fileinfo拡張モジュールを使用することで、より正確なMIMEタイプの判別が期待できます。fileinfo拡張モジュールがインストールされていない場合は、その旨をエラーメッセージとして出力します。このように、mime_content_type関数が期待通りに動作しない場合に備え、代替手段を用意しておくことが重要です。