Форум PHP

Не сильно в тему но:

$extension = array_pop(explode(".",$_FILES['avatar']['name']));

Теперь в переменной находится расширение файла.

Если уж та то пошло, и вас беспокоит только безопасность, то вредоносный код вообще может не имет никакого расширения, как впрочем может быть помещен и в любой другой файл с любым расширением. А запускать сие будет совсем иное, маленькое, пролезшее совсем в другую дыру, и совсем не туда куда вы файлы складываете.
Что касается расширений, ну коли вам лень проверять как следует, дело ваше, тем более, если вы готовы с веником постоянно проверять свои папки. Делай так как считаете нужным, вас никто не заставляет делать иначе.

>Делайте что хотите. Считаете, что достаточно узнать, что в расширении написано .jpg, а значит, если это исполняемый файл, то он не запуститься, а то что мусор мне пофигу...

Думаю тот, кто захочет ломануть сервак сделает это и не важно сколько проверок вы сделаете и каких.. А тех кто по ошибке попытается залить "неправильный" файл - отсекёт простейшая проверка.. Поэтому мусора не будет много.. Разве что какой-нить дибилоид решит принципиально завалить вас таким "мусором".. Поэтому мне кажется что проблема "мусора" не слишком актуальна учитывая что сайт модерируется..

Делайте что хотите. Считаете, что достаточно узнать, что в расширении написано .jpg, а значит, если это исполняемый файл, то он не запуститься, а то что мусор мне пофигу... В общем как хотите, так и делайте, я вам не указ.

Ну по идее при выводе картинки через тэг img - даже если там будет исполняемый файл пусть даже с "графическим" раширением, то один хрен он не запустится.. Ведь src атрибут всего лишь пытается показать его а не запустить, так ведь? То есть мы говорим именно о "мусоре"..

Кроме вреда, о котором нужно думать, думайте еще и "мусоре". Будете надеяться на расширение, получите кучу мусора себе на сервер.
Это не мой вариант, а разработчиков, и его нужно использовать.

Я не утверждал, что по расширению, можно опредилить полностью тип файла.
Я сказал, что можно сделать фильтр расширений и запретить передачу исполняемых файлов на сервер. Конечно исполняемый файл может передаться на сервер, если расширение подделать, но исполняться он не будет. Конечно ваш, вариант можно, использовать, но естествено вместе с проверкой расширения, так как не все файлы, можно проверить на валидатность, как картинки например, и mime тоже возможно можно подделать.

[поправлено модератором]

Уважаемый! Все дело в том, что доверяться расширению файла, да еще уповать на некий супер-фильтр расширений, позволяющий определить тот-ли файл вам загружают или нет, это полная профанация. Единственно надежной проверкой типа загружаемого файла, является проверка его заголовка. Кое что есть в этом направлении, например, загружаемые графические файлы можно проверить по заголовкам, независимо от того какое расширение вы им укажите, и как бы вы не подделывали передаваемый тип.
Кое что можно сделать и по другими типам, если у вас на хосте можно подключить модуль mod_mime_magic (может быть указан в списке как mime_magic_module). Этот модуль определяет MIME-тип, просматривая первые несколько байт файла (заголовок). Этот модуль как "вторая линия обороны" для случаев, когда mod_mime не может определить тип файлов.

[поправлено модератором]

Да вот хотелось услышать от вас о супер надежности проверки по расширению, но так и быть, пошел своей дорогой.