thinkphp模型中应使用$file->getmime()基于文件头识别mime类型，而非后缀；需在模型before_write钩子或setter中校验白名单，失败抛异常；上传后只存路径、名称、大小等，不存原始mime值。
ThinkPHP 模型里怎么自动识别上传文件的 MIME 类型
不能靠 $file->getExtension() 或文件后缀判断，那玩意儿一改就失效。ThinkPHP 模型本身不内置 MIME 探测，得手动塞进验证或保存逻辑里，用底层上传对象的 getMime() 方法才是靠谱路子。
- 上传成功后立刻调用
$file->getMime()，它基于文件头（magic bytes）识别，比后缀可靠得多 - 别在模型
save()之前只校验extension，比如用户把shell.php改成shell.jpg就能绕过 - 如果用了
Validate规则，mime:jpg,png这种写法实际依赖的是getMime()，但前提是验证器拿到的是think\File对象，不是普通数组或路径字符串
为什么 request()->file() 返回的对象能直接调用 getMime()
因为 ThinkPHP 的 think\File 类继承自 think\filesystem\driver\Local 相关逻辑，并封装了 finfo_open() 的调用。只要服务器开了 fileinfo 扩展（绝大多数主流环境默认开启），getMime() 就能工作。
- 没开
fileinfo扩展时，getMime()会退化成后缀匹配，返回类似application/octet-stream，这时必须报错拦截，不能放行 - 测试是否可用：在控制器里临时加一行
var_dump($file->getMime()); die;，上传个 .pdf 看输出是不是application/pdf - 注意
getMime()是实例方法，不能对路径字符串调用，比如'/tmp/phpabc123'->getMime()会报错
在模型 save() 前安全地做 MIME 白名单校验
别把校验逻辑写在控制器里再传参进模型——容易漏、难复用。推荐在模型的 before_write 钩子或自定义 setter 中处理，确保每次入库前都过一遍。
- 在模型里定义
setCoverAttr($value)，当字段叫cover时自动触发 -
$value是think\File对象时，才调用$value->getMime()；如果是字符串（比如编辑时没重传），跳过校验 - 白名单写死在方法里不如抽成配置，比如读
config('upload.image_mime')，值为['image/jpeg', 'image/png', 'image/gif'] - 校验失败直接抛异常：
throw new ValidateException('不支持的图片类型');，模型就不会继续 save
上传后存数据库的字段该存什么
别存原始 getMime() 结果到数据库，比如 image/jpeg —— 它只是校验用的中间态，和业务无关。真正要存的是文件路径、原始文件名、大小，必要时可存 extension（仅作展示用）。
- MIME 类型不保证长期稳定：同一个 PNG 文件，在不同系统或 PHP 版本下
getMime()可能返回image/png或image/x-png - 如果业务真需要记录类型，建议统一映射成枚举值，比如
'png'、'pdf'，由你自己的判断逻辑决定，而不是照搬getMime()输出 - 最常被忽略的一点：前端传来的
Content-Type请求头完全不可信，服务端必须以getMime()为准，且只信它一次——别在上传后又用mime_content_type()再查一遍，多此一举还可能因临时文件已被移动而失败
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
