ファイルシグネチャ（マジックバイト）一覧

マジックバイトとは

多くのファイル形式は、ファイルの先頭部分に固定のバイト列（シグネチャ）を持ちます。このバイト列を「マジックバイト」または「ファイルシグネチャ」と呼びます。OSやアプリケーションはこのシグネチャを見てファイルの種類を判定します。拡張子は容易に偽装できますが、マジックバイトはバイナリレベルの識別子のため、ファイルバリデーションの信頼性が高まります。

Linuxの file コマンドや、PHPの finfo クラスはこの仕組みを使ってMIMEタイプを判定しています。

画像ファイル

ドキュメント・アーカイブ

テキスト・データ形式

音声・動画

実行ファイル・その他

PHP でのマジックバイト検証の実装例

 ['offset' => 0, 'bytes' => "\x89PNG\r\n\x1a\n", 'length' => 8],
        'jpg'  => ['offset' => 0, 'bytes' => "\xFF\xD8\xFF",       'length' => 3],
        'gif'  => ['offset' => 0, 'bytes' => "GIF8",               'length' => 4],
        'pdf'  => ['offset' => 0, 'bytes' => "%PDF-",              'length' => 5],
        'zip'  => ['offset' => 0, 'bytes' => "PK\x03\x04",         'length' => 4],
        'exe'  => ['offset' => 0, 'bytes' => "MZ",                 'length' => 2],
    ];

    if (!isset($signatures[$expectedType])) {
        throw new \InvalidArgumentException("未知のファイルタイプ: $expectedType");
    }

    $sig = $signatures[$expectedType];
    $handle = fopen($filePath, 'rb');
    if ($sig['offset'] > 0) fseek($handle, $sig['offset']);
    $header = fread($handle, $sig['length']);
    fclose($handle);

    if (substr($header, 0, $sig['length']) !== $sig['bytes']) {
        throw new \RuntimeException("マジックバイトが一致しません（期待: $expectedType）");
    }
}

// 使用例
validateMagicBytes($_FILES['upload']['tmp_name'], 'png');
echo "正当なPNGファイルです";

関連リソース

• MIMEタイプ一覧 — 拡張子とContent-Typeの対応表
• 壊れたファイル / ヘッダー改ざんファイル — バリデーションテスト用
• ファイルバリデーション実装チェックリスト