Czy $ _SERVER ['REMOTE_USER'] może zostać sfałszowany?

Question

Mam sytuację, w której otwieram plik na podstawie zmiennej $ _SERVER ['REMOTE_USER']. Nie sądzę, że jest to możliwe do sfałszowania, ale chciałbym tylko potwierdzić. Nie chcę, aby się podatny na czytanie dowolnych plików:

<? 
     $user = $_SERVER['REMOTE_USER']; 
     $fp = fopen("./$user.png","r"); 
    ?> 

Answer 1

Tak, że nazwa jest cokolwiek jest określona przez użytkownika zdalnego.

Musisz również zweryfikować hasło. Jeśli hasło jest weryfikowane przez serwer, a nie przez aplikację, prawdopodobnie jesteś w porządku.