Upload de fichier en PHP sécurisé

<form method="post" action="/materiels/4/photo" enctype="multipart/form-data">
  <input type="hidden" name="csrf" value="…">
  <label for="photo">Photo du matériel (JPEG, PNG ou WebP, 5 Mo au plus)</label>
  <input id="photo" name="photo" type="file" accept="image/jpeg,image/png,image/webp" required>
  <button>Envoyer</button>
</form>

<?php

declare(strict_types=1);

// src/photos.php
const TYPES_PHOTO = ['image/jpeg' => 'jpg', 'image/png' => 'png', 'image/webp' => 'webp'];
const TAILLE_PHOTO_MAX = 5 * 1024 * 1024;                     // 5 Mo
const DOSSIER_PHOTOS = __DIR__ . '/../var/uploads/photos';    // hors de public/

final class PhotoInvalide extends RuntimeException
{
}

/** Vérifie la photo reçue, l'enregistre sous un nom aléatoire et renvoie ce nom. */
function enregistrerPhoto(array $fichier): string
{
    // 1. Un seul fichier, envoyé sans erreur
    if (!isset($fichier['error'], $fichier['tmp_name'], $fichier['size']) || !is_int($fichier['error'])) {
        throw new PhotoInvalide('Envoi invalide.');
    }
    match ($fichier['error']) {
        UPLOAD_ERR_OK => null,
        UPLOAD_ERR_NO_FILE => throw new PhotoInvalide('Choisis une photo.'),
        UPLOAD_ERR_INI_SIZE, UPLOAD_ERR_FORM_SIZE => throw new PhotoInvalide('La photo dépasse 5 Mo.'),
        default => throw new PhotoInvalide('L\'envoi a échoué, réessaie.'),
    };

    // 2. Le fichier vient bien d'un envoi HTTP, et sa taille est acceptable
    if (!is_uploaded_file($fichier['tmp_name'])) {
        throw new PhotoInvalide('Envoi invalide.');
    }
    if ($fichier['size'] > TAILLE_PHOTO_MAX) {
        throw new PhotoInvalide('La photo dépasse 5 Mo.');
    }

    // 3. Le contenu est réellement une image d'un format autorisé
    $mime = (new finfo(FILEINFO_MIME_TYPE))->file($fichier['tmp_name']);
    $extension = TYPES_PHOTO[$mime] ?? null;
    if ($extension === null || getimagesize($fichier['tmp_name']) === false) {
        throw new PhotoInvalide('Formats acceptés : JPEG, PNG ou WebP.');
    }

    // 4. Un nom choisi par le serveur, dans un dossier hors de la racine du site
    $nom = bin2hex(random_bytes(16)) . '.' . $extension;
    if (!move_uploaded_file($fichier['tmp_name'], DOSSIER_PHOTOS . '/' . $nom)) {
        throw new RuntimeException('Impossible d\'enregistrer la photo.');
    }

    return $nom;
}

<?php

declare(strict_types=1);

// Route GET /materiels/{id}/photo, dans MaterielControleur
public function photo(int $id): void
{
    exigerConnexion();

    $materiel = $this->depot->trouver($id);
    $chemin = $materiel?->photo === null ? null : DOSSIER_PHOTOS . '/' . basename($materiel->photo);
    if ($chemin === null || !is_file($chemin)) {
        http_response_code(404);
        return;
    }

    header('Content-Type: ' . (new finfo(FILEINFO_MIME_TYPE))->file($chemin));
    header('Content-Length: ' . filesize($chemin));
    header('X-Content-Type-Options: nosniff');
    header('Cache-Control: private, max-age=3600');
    readfile($chemin);
}

<?php

declare(strict_types=1);

// Route POST /materiels/{id}/photo, dans MaterielControleur
public function changerPhoto(int $id): void
{
    exigerRole('gestionnaire');                     // le jeton CSRF est vérifié par le contrôleur frontal

    $materiel = $this->depot->trouver($id) ?? throw new RuntimeException('Matériel introuvable.');

    try {
        $nouveau = enregistrerPhoto($_FILES['photo'] ?? []);
    } catch (PhotoInvalide $e) {
        flash('erreur', $e->getMessage());
        rediriger("/materiels/$id");
    }

    try {
        $this->depot->changerPhoto($id, $nouveau);  // UPDATE materiel SET photo = :photo WHERE id = :id
    } catch (Throwable $e) {
        unlink(DOSSIER_PHOTOS . '/' . $nouveau);    // pas de fichier orphelin
        throw $e;
    }

    if ($materiel->photo !== null) {
        @unlink(DOSSIER_PHOTOS . '/' . basename($materiel->photo));   // l'ancienne photo ne sert plus
    }

    flash('succes', 'Photo enregistrée.');
    rediriger("/materiels/$id");
}