thinkphp 6+ 的上传后缀限制必须在 validate() 方法或验证器规则中配置，而非 upload.php 或 filesystem.php；需同时使用 fileext 和 filemime 双校验，并重命名文件、禁用执行权限以保障安全。
ThinkPHP 上传后缀限制在哪配？不是 upload 配置项
ThinkPHP 的文件上传类型控制，核心不在 upload 配置里，而是在 validate 验证规则中。很多人改了 maxSize 或 exts 却没生效，是因为直接往 upload.php 配置文件里硬塞 exts，但 ThinkPHP 6+ 已不认这个字段——它只在 FileValidate 类或控制器里用 validate 参数驱动。
常见错误现象：exts => ['jpg', 'png'] 写在 config/filesystem.php 或自定义 upload.php 里完全无效；上传 .exe 文件不报错；mimeTypes 配置被忽略。
-
exts必须传给validate()方法，或写在验证器的rule里（如'file|file_ext' => 'fileExt:jpg,png'） - ThinkPHP 6.0+ 默认禁用全局上传配置，
think\facade\Filesystem不处理验证逻辑，只管存储 - 如果用了
think\facade\Request的file()，必须手动调用validate()，否则后缀检查根本不会触发
如何用 validate() 正确限制后缀？注意 mime 和 ext 双校验
只靠后缀白名单不够安全，攻击者可改后缀名绕过。ThinkPHP 提供 fileExt 和 fileMime 两个验证规则，推荐组合使用。
实操建议：
- 在控制器里用
$file->validate(['ext' => ['jpg', 'png'], 'mime' => ['image/jpeg', 'image/png']]) - 若用验证器类，rule 写成
'file|file_ext' => 'fileExt:jpg,png&fileMime:image/jpeg,image/png' -
fileMime比mimeTypes配置更可靠，后者在某些 Swoole 环境下会失效 - 注意：ThinkPHP 对
.jpeg和.jpg视为不同扩展名，要同时写全
为什么 upload.php 里的 exts 不起作用？版本差异和加载时机问题
ThinkPHP 5.1 曾支持在 config/upload.php 中配 'exts' => ['jpg']，但该配置仅被 think\Upload（已废弃类）读取；TP6+ 完全移除了该逻辑，upload.php 文件本身都不再被框架自动加载。
常见踩坑点：
- 复制旧项目配置，以为改
upload.php就能生效，结果上传任意后缀都成功 - 在
filesystem.php里加exts字段，但该文件只管磁盘驱动，不参与验证 - 用
Request::file()获取对象后，忘记调用validate()，等于没校验
安全上传还要防什么？绕过后缀检查的典型手段
光拦后缀远远不够。用户可能上传 shell.jpg.php（双后缀）、1.php%00.jpg（空字节截断）、或伪造 Content-Type: image/jpeg 但实际是 PHP 脚本。
关键补救措施：
- 上传后重命名文件，用
md5(uniqid()) . '.jpg'这类方式，彻底剥离原始后缀 - 存储目录禁止执行权限（Linux 下
chmod -x），Web 服务器配置禁止解析非.php后缀（如 Nginx 的location ~ \.php$） - 不要依赖客户端传来的
$_FILES['file']['type']，它可被任意修改；必须服务端用finfo_file()做二进制识别（ThinkPHP 的fileMime底层就调这个）
最易被忽略的是：即使验证通过，也别把上传文件直接放到 Web 可访问路径下——先存到 runtime/upload/ 这类非公开目录，再按需分发。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
