怎样在 PHP 中安全地处理用户上传的图片文件_校验文件 MIME 类型-php教程-PHP中文网

不能信$_files'file'，因其由客户端控制易被篡改；必须用finfo_open()读取临时文件内容校验mime类型，并配合exif_imagetype()验证图像结构，再结合扩展名检查、目录权限限制和强制重命名四层防护。

怎样在 php 中安全地处理用户上传的图片文件_校验文件 mime 类型

为什么不能信 `$_FILES['file']['type']`

浏览器传来的这个字段完全由客户端控制，改个请求头就能把 shell.php 声称成 image/jpeg。一旦你用它做判断，攻击者上传的恶意脚本可能直接在 Web 目录下被执行。这不是假设——真实渗透测试中，这是最常被利用的上传绕过路径之一。

必须用 `finfo_open()` 读取临时文件内容

PHP 自带的 finfo_open() 是目前最可靠的服务端 MIME 探测方式，它基于文件前几百字节的 magic number 匹配，不依赖扩展名或头部注释。

务必传入 $_FILES['file']['tmp_name']，不是 $_FILES['file']['name'] 或其他路径
用 FILEINFO_MIME_TYPE 模式，返回干净类型如 image/png，避免 FILEINFO_MIME 返回带 ; charset=... 的字符串增加比对复杂度
调用前确认 extension=fileinfo 已在 php.ini 中启用，否则 finfo_open() 返回 false
别用已废弃的 mime_content_type()，也别自己 fread() + substr() 手动解析魔数——规则太复杂，容易漏判

最小可用示例：

$finfo = finfo_open(FILEINFO_MIME_TYPE);
if ($finfo === false) {
    die('finfo 初始化失败');
}
$mimeType = finfo_file($finfo, $_FILES['file']['tmp_name']);
finfo_close($finfo);

if (!in_array($mimeType, ['image/jpeg', 'image/png', 'image/gif', 'image/webp'])) {
    die('不支持的图片类型');
}

只校验 MIME 还不够：必须配合 `exif_imagetype()` 或 `getimagesize()`

MIME 类型能识别格式，但不能保证文件结构合法。攻击者可构造“伪图”：开头塞 JPEG header，后面紧跟 PHP 代码，finfo 会返回 image/jpeg，但实际执行时可能触发解析器漏洞或被 Web 服务器误当作脚本运行。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

exif_imagetype() 更轻量，只读文件头、返回整型常量（如 IMAGETYPE_JPEG），不加载图像数据，性能好且专为图像设计
getimagesize() 会返回宽高和真实 mime（注意是数组里的 ['mime']，不是 $_FILES 的），但它要求 GD 扩展启用，且对损坏图像更敏感
两者都必须作用于 $_FILES['file']['tmp_name']，且应在 move_uploaded_file() 之前调用

推荐组合校验：

$tmp = $_FILES['file']['tmp_name'];
if (exif_imagetype($tmp) !== IMAGETYPE_JPEG && exif_imagetype($tmp) !== IMAGETYPE_PNG) {
    die('非有效 JPEG/PNG 图像');
}

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, $tmp);
finfo_close($finfo);
if ($mime !== 'image/jpeg' && $mime !== 'image/png') {
    die('MIME 类型不匹配');
}

别忘了扩展名、目录权限和重命名这三道防线

MIME 和图像结构校验解决的是“内容可信”，但还有三个现实风险点必须堵住：

扩展名检查只是初步过滤，用 pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION) 获取，转小写后白名单比对（如 in_array(strtolower($ext), ['jpg', 'jpeg', 'png'])）；但绝不能单独依赖它
上传目录必须禁用脚本执行权限：Apache 下用 .htaccess 加 php_flag engine off，Nginx 则在 location 块里加 deny all; 或限制 fastcgi 只处理特定后缀
落地前强制重命名文件，丢弃原始文件名——防止 Unicode、空格、路径遍历（如 ../shell.php）或已知恶意文件名被复用

真正安全的上传，从来不是靠某一个函数兜底，而是让攻击者必须同时绕过四层独立校验：扩展名 → MIME → 图像结构 → 目录执行控制。少一层，风险就指数级上升。