realpath() 函数返回规范化的绝对路径名，成功时返回不含符号链接、/./、/../及多余斜杠的绝对路径，失败时严格返回false（如路径不存在、权限不足或非真实路径），需显式判断=== false并拒绝后续操作。
realpath() 校验前必须先检查是否解析成功
直接对用户传入的路径调用 realpath() 并不安全——如果路径非法（如含大量 ../、不存在、权限不足），realpath() 会返回 false，但很多开发者忽略这个返回值，直接拿它跟基目录比对，结果导致空字符串或 false 被 strpos() 当作合法路径处理。
正确做法是：先判断 realpath() 返回值是否为 false，再做路径前缀校验。
-
realpath()失败时必须拒绝请求，不能继续执行后续逻辑 - 不要用
=== false以外的方式判断失败（比如== false或!$path，会把/这类合法但恰好被转成空字符串的路径误判） - 校验必须用
strpos($resolved, $baseDir) === 0，不能用!== false（否则/var/www/uploads/../etc/passwd解析后是/etc/passwd，而strpos('/etc/passwd', '/var/www/uploads')返回false，但!== false会认为“没找到”，反而放行）
上传目录必须用 realpath() 固定绝对路径
写死相对路径（如 './uploads'）或拼接用户输入（如 './uploads/'.$_GET['file']）极易被绕过。PHP 的 realpath() 是唯一能可靠展开所有 ../、符号链接、多余斜杠的函数，但它只对已存在的路径生效——所以基目录本身也得先 realpath() 一次。
示例中 $uploadDir = realpath('./uploads') 是必要前提，否则攻击者可能利用软链接或目录结构差异让 realpath('./uploads/../../etc/passwd') 解析出意外路径。
- 基目录变量（如
$uploadDir）必须在脚本开头就用realpath()初始化，且确认返回非false - 不要在运行时动态构造基目录（如
realpath($_POST['base'])），基目录应硬编码或从配置读取 - 如果
realpath('./uploads')返回false，说明目录不存在或不可读，应提前报错退出，而不是继续往下走
删除文件前必须双重校验：路径范围 + 文件存在性 + 可写性
仅校验路径是否在允许范围内还不够——攻击者可能上传一个合法路径名的恶意文件（如 shell.php），再通过删除接口把它删掉，看似“只是删文件”，实则为后续上传铺路；或者利用竞争条件，在校验和执行之间替换目标文件。
因此，is_file() 和 is_writable() 必须放在路径校验之后、unlink() 之前，并且三者顺序不能颠倒。
- 先通过
realpath()得到规范化路径 - 再用
strpos()确认该路径以$uploadDir开头 - 最后才调用
is_file($path) && is_writable($path)，两者缺一不可 - 不要省略
is_writable()——某些系统上文件存在但不可写，unlink()会失败，但错误处理不当可能暴露路径信息
宝塔面板下 chmod 644/755 不足以防越权，需配合属主锁定
即使你把所有 PHP 文件设为 644、目录设为 755，如果 Web 进程（如 php-fpm）以高权限用户（如 root 或 admin）运行，攻击者仍可通过任意文件写入漏洞修改关键逻辑。真正的防护在于进程与文件属主隔离。
在宝塔中，必须将站点目录属主设为 www:www，并确保 php-fpm 运行用户也是 www。这样即使攻击者拿到 Web Shell，也无法修改其他站点文件或系统配置。
- 用
chown -R www:www /www/wwwroot/your-site/统一属主 - 上传目录（如
uploads/）可设为750，组可读写，但“其他用户”无任何权限 - 禁止给
www用户sudo权限，避免提权后执行系统命令 - 宝塔计划任务里加一条每日校验脚本，用
find /www/wwwroot -not -user www -o -not -group www扫描异常属主
realpath() 可能失败、基目录本身可能不存在、上传目录的属主和 Web 进程用户不一致——这三处任一缺失，都会让前面所有校验形同虚设。php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
