伪造文件扩展名

Question

我正在创建一个在线HTML编辑器,我想知道是否可以伪造文件扩展名.

那么,用户可以创建一个文件并选择天气它应该是.html,.css或.js文件然后他们将进入代码编辑器,他们想要保存到数据库.问题出现在我的实时预览功能中.我只是抓住他们从数据库中编写的代码,而不是在服务器上创建文件,所以访问用户文件的URL就像http://novuta.com/p/files/code.php?watermelon=23 和它会从id为23的数据库中提取代码,非常简单.

但是......如果用户在两个文件之间创建链接,例如

<link rel = "stylesheet" type = "text/css" href = "http://www.novuta.com/p/files/code.php?watermelon=23">

链接会很好,但它会以平面文本而不是.css文件的形式出现在浏览器中.

我不确定但是可能有一种方法可以使用.htaccess来缓解这个问题,但文件会有用户选择的扩展名.

如果不是最好的话,这是我的第一个问题

Answer 1

你可以Content-Type在你的php文件中设置正确的呈现css,如下:

<?php
header("Content-Type: text/css"); 
header("X-Content-Type-Options: nosniff");
//your css code
?>