Adım Adım: CodeIgniter’da Dosya Yükleme Ucunu Güvenle Yazmak

; php.ini — sunucu tarafı üst sınır
upload_max_filesize = 8M
post_max_size = 10M          ; upload_max_filesize'dan BÜYÜK olmalı
max_file_uploads = 5

// Uygulama tarafı: kullanıcıya anlamlı hata verebilmek için
$kurallar = [
    'belge' => [
        'label' => 'Belge',
        'rules' => 'uploaded[belge]|max_size[belge,5120]|ext_in[belge,jpg,jpeg,png,webp,pdf]',
        'errors' => [
            'uploaded' => 'Bir dosya seçmelisiniz.',
            'max_size' => 'Dosya en fazla 5 MB olabilir.',
            'ext_in'   => 'Yalnızca JPG, PNG, WEBP ve PDF kabul edilir.',
        ],
    ],
];

if (! $this->validate($kurallar)) {
    return redirect()->back()->withInput()->with('errors', $this->validator->getErrors());
}

private const IZINLI = [
    'image/jpeg'      => 'jpg',
    'image/png'       => 'png',
    'image/webp'      => 'webp',
    'application/pdf' => 'pdf',
];

private function dogrula(?\CodeIgniter\HTTP\Files\UploadedFile $dosya): ?string
{
    if (! $dosya || ! $dosya->isValid() || $dosya->hasMoved()) {
        return null;
    }

    // İstemcinin bildirdiği tip DEĞİL, dosya içeriğinden okunan tip
    $mime = strtolower((string) $dosya->getMimeType());
    if (! isset(self::IZINLI[$mime])) {
        return null;
    }

    // Görsellerde ek kontrol: içerik gerçekten çözümlenebiliyor mu?
    if (str_starts_with($mime, 'image/') && @getimagesize($dosya->getTempName()) === false) {
        return null;
    }

    return self::IZINLI[$mime];   // uzantıyı BİZ belirliyoruz
}

$uzanti = $this->dogrula($this->request->getFile('belge'));
if ($uzanti === null) {
    return redirect()->back()->with('error', 'Dosya kabul edilmedi.');
}

$dosya = $this->request->getFile('belge');

// Ad tamamen bizim ürettiğimiz parçalardan kurulur: tarih + rastgele + doğrulanmış uzantı
$ad  = date('Ymd-His') . '-' . bin2hex(random_bytes(6)) . '.' . $uzanti;
$dizin = WRITEPATH . 'yuklemeler/' . date('Y/m');

if (! is_dir($dizin)) {
    mkdir($dizin, 0755, true);
}

$dosya->move($dizin, $ad);

public function indir(int $id)
{
    $kayit = $this->belgeModel->find($id);
    if (! $kayit) {
        throw \CodeIgniter\Exceptions\PageNotFoundException::forPageNotFound();
    }

    // Yetki kontrolü: dosya doğrudan erişilebilir olsaydı bu adım hiç çalışmazdı
    if (! $this->policy->erisebilir(session()->get('user_id'), $kayit)) {
        return $this->response->setStatusCode(403)->setBody('Yetkiniz yok.');
    }

    $yol = WRITEPATH . 'yuklemeler/' . $kayit['yol'];

    // realpath + prefix kontrolü: yol manipülasyonuna karşı son kapı
    $gercek = realpath($yol);
    if ($gercek === false || ! str_starts_with($gercek, realpath(WRITEPATH . 'yuklemeler'))) {
        throw \CodeIgniter\Exceptions\PageNotFoundException::forPageNotFound();
    }

    return $this->response->download($gercek, null)->setFileName($kayit['gorunen_ad']);
}

# Yükleme dizininde PHP çalıştırmayı kapat (.htaccess)
<FilesMatch "\.(php|phar|phtml|cgi|pl)$">
    Require all denied
</FilesMatch>
php_flag engine off