PHP上传：文件类型白名单与内容校验

建立文件类型白名单与基础上传校验

在PHP中处理文件上传时，首要任务是建立严格的白名单机制并处理基础校验。开发者必须明确，客户端提交的任何数据（包括文件名、扩展名和MIME类型）均不可信，因为它们极易被篡改。后端应首先检查$_FILES数组中的error字段，确保其值为UPLOAD_ERR_OK（即0），以排除网络中断或文件过大等基础异常。接着，通过$_FILES['file']['size']与php.ini中的upload_max_filesize和post_max_size配置进行比对，拦截超出限制的文件。对于文件类型控制，应摒弃黑名单思维，转而采用白名单策略。例如，定义一个允许上传的扩展名数组$allowedExtensions = ['jpg', 'png', 'pdf']，使用pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION)提取后缀并转为小写后进行严格匹配。若不在白名单内，立即终止上传流程。这种基于服务端的强校验能有效阻断利用客户端JavaScript绕过或伪造扩展名的初级攻击，为后续安全处理奠定基础。

使用MIME与文件内容进行双重校验

仅依赖扩展名校验仍存在被绕过的风险，因此必须引入服务端MIME检测与文件内容深度校验。PHP内置的finfo扩展是获取文件真实MIME类型的可靠工具。通过$finfo = finfo_open(FILEINFO_MIME_TYPE)初始化后，调用finfo_file($finfo, $_FILES['file']['tmp_name'])可读取文件头部的二进制特征，从而识别其真实类型。需注意，$_FILES['file']['type']由浏览器提供，攻击者可轻易伪造为image/jpeg，故绝不能作为校验依据。对于图片类文件，建议结合getimagesize()函数进行二次验证。该函数不仅返回图片宽高，还会解析文件头结构；若文件被篡改为包含恶意PHP代码的“图片”，getimagesize()将返回false或抛出警告。通过“扩展名白名单 + finfo真实MIME + getimagesize内容结构”的三重校验，可精准识别伪装成合法格式的恶意文件，确保上传内容符合预期。

安全存储上传文件并阻断脚本执行

即使文件通过了类型与内容校验，若存储环节存在缺陷，仍可能导致严重的安全漏洞。因此，必须实施安全存储策略。首先，上传目录应与Web应用根目录隔离，或至少置于独立路径下，避免与业务代码混放。其次，必须对文件名进行随机化处理，例如使用bin2hex(random_bytes(16))结合原始扩展名生成新文件名，彻底消除因文件名可预测导致的覆盖或遍历风险。在移动文件时，务必使用move_uploaded_file()而非copy()或rename()，以确保文件确实来自合法的HTTP POST上传。同时，需使用basename()过滤路径中的../等字符，严防路径穿越攻击。更为关键的是，应在Web服务器层面（如Nginx的location块或Apache的.htaccess）配置上传目录禁止解析执行PHP等脚本文件。这样即使攻击者成功上传了恶意脚本，服务器也会将其作为静态文件返回，从而彻底阻断代码执行链。

用恶意文件与绕过案例验证上传防护

防护机制的有效性必须通过实战化的恶意文件测试来验证。测试应覆盖常见的绕过手法：首先尝试上传双扩展名文件（如shell.php.jpg），检验白名单是否严格匹配末尾后缀；其次上传伪造MIME的脚本文件（如将<?php phpinfo(); ?>保存为.jpg），验证finfo与getimagesize能否拦截；接着测试修改扩展名的纯文本脚本，确认内容校验是否生效；最后尝试上传超过upload_max_filesize限制的文件，验证基础拦截逻辑。在测试过程中，需观察PHP接口是否统一返回明确的拒绝状态码（如HTTP 400或自定义错误JSON），并检查服务器上传目录的实际状态。只有当所有测试用例均被正确拦截，且目录中未生成任何可执行文件时，才能证明“白名单过滤、内容深度检测、存储隔离与执行阻断”四层防御体系已协同生效，真正实现了纵深防御。