Archief - 'Bestand uit mysql halen' probleem

Bumbolt zei:

Heb je het al laten testen voor andere mensen? Ik zou zeggen geef een link...

Lijkt erop dat die instellingen meer bij de gebruiker liggen dan bij de site. Als je zegt dat ze als Xml worden uitgelezen. Eens de echte extensie checken van die gedownloade bestanden. En zo terug gaan kijken in jouw code. Waarschijnlijk converteer je het dan ergens naar een xml.

Je zegt dat de bestanden in je SQL zitten maar daar bedoel je dan toch het path naar de bestanden mee? Bestanden rechstreeks in een sql database gaan droppen lijkt me nogal raar.

Klik om te vergroten...

Disa zei:

Stuur je de mimetype wel mee in de headers?
IIRC, is dat in php zoiets:

Code:

// De content type header
header('Content-Type: ' . $mimetype);

// Als je wil dat het gedownload moet worden
header('Content-disposition: attachment; filename=' . $my_filename);

Dit kan waarschijnlijk ook wel in de .htaccess gedaan worden.

Klik om te vergroten...

wonko zei:

Aangezien je het terugstuurt via PHP, zal je zelf moeten instaan voor het doorgeven van de juiste headers met mime-types. Via .htaccess gaat dit enkel voor bestanden die door de webserver doorgestuurd worden (een .docx of zo in een map op de webserver).

Idealiter ga je het mime-type detecteren wanneer de upload gebeurt, en sla je dit mee op in een veldje in je database; daarna ga je bij het terug doorsturen van het bestand het correcte mimetype doorsturen.

Trouwens, files in een db is eigenlijk minder slim... sla de files op op disk, en hou een referentie bij in de DB.

Klik om te vergroten...

$file_shell = escapeshellarg( $filename );
$mime_type = shell_exec("file -bi " . $file_shell);

wonko zei:

Aangezien je het terugstuurt via PHP, zal je zelf moeten instaan voor het doorgeven van de juiste headers met mime-types. Via .htaccess gaat dit enkel voor bestanden die door de webserver doorgestuurd worden (een .docx of zo in een map op de webserver).

Idealiter ga je het mime-type detecteren wanneer de upload gebeurt, en sla je dit mee op in een veldje in je database; daarna ga je bij het terug doorsturen van het bestand het correcte mimetype doorsturen.

Trouwens, files in een db is eigenlijk minder slim... sla de files op op disk, en hou een referentie bij in de DB.

Klik om te vergroten...

adrianhates zei:

yes sir!
Mimetypes detecteren is trouwens niet zo simpel met PHP als ge lager dan 5.3 draait.
Met PHP > 5.2 kunt ge fileinfo gebruiken, oftewel de PECL extensie zelf mee installeren / compilen op PHP < 5.3
PHP: finfo_file - Manual

Functieke voor PHP < 5.3:

Code:

$file_shell = escapeshellarg( $filename );
$mime_type = shell_exec("file -bi " . $file_shell);

Klik om te vergroten...

$fileType = $_FILES['userfile']['type'];

header("Content-type: $type");

adrianhates zei:

Code:

$fileType = $_FILES['userfile']['type'];

$_FILES['userfile']['type'] is niet te vertrouwen ...
security - Reliability of Mimetypes in Uploads (PHP) - Stack Overflow

en dan is finfo zelfs nog niet 100% te vertrouwen.. PHP code kunde ook in images steken en dan zal da nog steeds image/jpeg teruggeven. Een al ouder documentje maar nog steeds toepasbaar meen ik:
http://www.scanit.be/uploads/php-file-upload.pdf

maar zolang ge geen code toont zal niemand u kunnen helpen denk ik Het is zeker en vast zonder .htaccess te doen want ik heb het gisteren zelfs nog gemaakt ..

edit : hebt ge ook verschillende browsers gechecked? Zit ge op IIS? of Apache?

Klik om te vergroten...

<?php
if(isset($_GET['id']))
{
include 'hostgegevens';
$id    = $_GET['id'];
$query = "SELECT name, type, size, content " .
         "FROM upload WHERE id = '$id'";
		 
$result = mysql_query($query) or die('Error, query failed');

list($name, $type, $size, $content) =  mysql_fetch_array($result);

header("Content-length: $size");
header("Content-type: $type");
header("Content-Disposition: attachment; filename=$name");
echo $content;
exit;
}
?>

<?php
include "hostgegevens";

if(isset($_POST['upload']) && $_FILES['userfile']['size'] > 0)
{
$naam = $_POST['naam'];
$bestandsnaam = $_POST['bestandsnaam'];
$Vak = $_POST['Vak'];
$fileName = $_FILES['userfile']['name'];
$tmpName  = $_FILES['userfile']['tmp_name'];
$fileSize = $_FILES['userfile']['size'];
$fileType = $_FILES['userfile']['type'];
$fp      = fopen($tmpName, 'r');
$content = fread($fp, filesize($tmpName));
$content = addslashes($content);
fclose($fp);

if(!get_magic_quotes_gpc())
{
    $fileName = addslashes($fileName);
}

$query = "INSERT INTO upload (name, size, type, content, naam_ll, bestandsnaam, Vak ) ".
"VALUES ('$fileName', '$fileSize', '$fileType', '$content', '$naam', '$bestandsnaam', '$Vak')";
mysql_query($query) or die('Error, query failed');
echo "<br>Bestand '$fileName' opgeladen<br>";
}
?>

Zir0h zei:

Beetje offtopic, maar uw script is wel héél sql injectable.

Klik om te vergroten...

GammaGamer zei:

(trouwes, de mensen die het gebruiken, weten niks van programmeren en code )

Klik om te vergroten...

Huxley zei:

Lame

Klik om te vergroten...

adrianhates zei:

ge kunt met 1 SQL injection heel uw tabel verwijderen.. Die opmerkingen hebben dus zeker wel iets bij te dragen! Die van Lame ook , want uw opmerking was echt wel lame. Der kan altijd iemand bij zitten dat er wel kennis van heeft .. En dan bende gefucked als da ne klootzak is!

En het werkt niet! Omdat op te lossen zulde toch een live voorbeeld moeten geven..
Of beter ook niet want dan riskeerde dat uw tabel verdwijnt ..

Klik om te vergroten...