thinkphp限制文件上传类型需四步：一、调用$file->validate(['ext'=>['jpg','png']])预校验，扩展名须全小写；二、复合size（字节单位）与ext规则；三、用finfo_open()做mime二次校验防伪装；四、重命名文件并按mime推导扩展名，同时调大php.ini的upload_max_filesize和nginx的client_max_body_size。
如果您在使用ThinkPHP开发应用时，发现用户可上传任意后缀文件，存在执行恶意脚本或破坏系统安全的风险，则可能是由于未正确配置上传校验规则。以下是实现上传文件类型限制的具体方法：
一、通过validate()方法配置扩展名白名单
ThinkPHP框架层的文件类型限制依赖于think\File对象的validate()方法调用，规则必须以数组形式传入，且仅识别全小写、无空格的扩展名字符串。该验证属于预校验，不调用则完全不生效。
1、在控制器中获取上传文件对象：$file = request()->file('upload');
2、定义严格白名单规则数组，例如仅允许图片类文件：$rule = ['ext' => ['jpg', 'jpeg', 'png', 'gif']];
3、显式调用validate()方法：$file->validate($rule);
4、随后执行move()操作，若校验失败将抛出think\exception\FileValidateException异常。
二、结合size与ext双规则进行复合校验
单一扩展名校验易被绕过，需同步限制文件大小并确保单位为字节。ThinkPHP不支持KB/MB单位直写，必须使用整数字节值或预先计算的表达式结果。
1、构建含大小与类型双重约束的规则数组：$rule = ['size' => 2097152, 'ext' => ['pdf', 'docx', 'xlsx']];
2、确认size值为2097152（即2MB），不可填写2 * 1024 * 1024等未求值表达式。
3、调用校验：if (!$file->validate($rule)) { throw new FileValidateException($file->getError()); }
4、错误信息须通过捕获FileValidateException的getMessage()获取，不能使用通用ValidateException。
三、启用fileinfo扩展做真实MIME二次校验
扩展名校验无法防御内容伪装（如shell.php.jpg），必须配合服务端二进制头检测。ThinkPHP不内置此能力，需手动集成finfo_open()，作为move前的强制兜底步骤。
1、确认PHP已启用fileinfo扩展（检查phpinfo中fileinfo support => enabled）。
2、在validate()通过后、move()前插入MIME校验代码：
3、调用finfo_open(FILEINFO_MIME_TYPE)并传入$_FILES['upload']['tmp_name']。
4、比对返回值是否在预设白名单中，例如in_array($mimeType, ['image/png', 'application/pdf'], true)，不匹配则直接终止流程，不执行move。
四、重命名并强制统一扩展名规避原始后缀风险
客户端提交的文件名可能含空格、Unicode或双后缀，导致扩展名提取失败或被利用。应丢弃原始后缀，依据MIME类型推导合法扩展名并重命名。
1、建立MIME到扩展名的映射表：$extMap = ['image/jpeg' => 'jpg', 'application/pdf' => 'pdf'];
2、根据finfo_file()结果查表获取标准扩展名：$safeExt = $extMap[$mimeType] ?? null;
3、生成新文件名：$newName = md5_file($file->getInfo('tmp_name')) . '.' . $safeExt;
4、调用$file->move('uploads', $newName)，确保保存时使用推导出的扩展名，而非原始name。
五、配置php.ini基础参数防止请求被底层截断
ThinkPHP校验发生在PHP接收请求之后，若upload_max_filesize或post_max_size过小，超限文件根本无法到达框架层，会直接返回HTTP 413错误或空$_FILES。
1、编辑php.ini，设置upload_max_filesize = 50M与post_max_size = 60M（后者需大于前者）。
2、确保file_uploads = On已启用。
3、若使用Nginx，同步添加client_max_body_size 60m;至server块。
4、修改后必须重启Web服务器，否则配置不会生效。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
