validate(['ext' => 'jpg,png,gif'])不够安全，因其仅校验文件扩展名，不解析文件头（mime或魔数），攻击者可将php木马重命名为shell.jpg绕过；且$_files['type']可伪造，必须在move()前用fopen读取真实文件头比对魔数，并重命名、隔离存储。
ThinkPHP 的文件上传白名单校验不是靠框架自动完成的，必须手动干预 validate 或拦截 move() 前的原始文件信息，否则容易被绕过。
为什么 validate(['ext' => 'jpg,png,gif']) 不够安全
ThinkPHP 5.x/6.x 的内置验证器只检查文件扩展名，不解析文件头（MIME 类型或魔数），攻击者可将恶意 PHP 文件重命名为 shell.jpg 并上传成功。尤其在开启 upload_max_filesize 且未禁用解析的目录下，风险极高。
- 扩展名校验在
Request->file()后、move()前执行，但无法阻止伪造的 MIME 或内容 -
$_FILES['xxx']['type']可被客户端任意篡改，不能作为判断依据 - ThinkPHP 默认不启用文件头检测，需自行读取前几百字节做二进制比对
必须校验文件头（Magic Number）而非仅扩展名
真实校验逻辑应在调用 move() 前，用 fopen($file->getRealPath(), 'rb') 读取前 4–8 字节，比对常见图片/文档的魔数。例如：
jpg: \xff\xd8\xff png: \x89\x50\x4e\x47\x0d\x0a\x1a\x0a gif: GIF87a / GIF89a
示例代码片段（TP6）：
$file = $this->request->file('image');
if (!$file) {
return ['code' => 0, 'msg' => '未上传文件'];
}
// 先做扩展名校验（基础过滤）
$ext = strtolower($file->getExtension());
$allowExt = ['jpg', 'jpeg', 'png', 'gif'];
if (!in_array($ext, $allowExt)) {
return ['code' => 0, 'msg' => '不支持的文件类型'];
}
// 再读取文件头校验
$fp = fopen($file->getRealPath(), 'rb');
$bin = fread($fp, 8);
fclose($fp);
$isValid = false;
switch ($ext) {
case 'jpg':
case 'jpeg':
$isValid = substr($bin, 0, 3) === "\xff\xd8\xff";
break;
case 'png':
$isValid = substr($bin, 0, 8) === "\x89\x50\x4e\x47\x0d\x0a\x1a\x0a";
break;
case 'gif':
$isValid = substr($bin, 0, 4) === 'GIF8';
break;
}
if (!$isValid) {
return ['code' => 0, 'msg' => '文件头不匹配，疑似非法文件'];
}
上传后立即重命名 + 禁止执行权限
即使通过白名单校验，上传后的文件仍可能因 Web 服务器配置不当被执行。关键动作必须做：
- 使用
uniqid() . '.' . $ext或更安全的md5_file($file->getRealPath()) . '.' . $ext重命名，避免原始文件名残留 - 确保上传目录不在 Web 根目录下，或通过 Nginx/Apache 显式禁止该目录下所有
.php、.phtml等脚本执行（如 Nginx 中加location ~ \.(php|phtml|php3|php4|php5|php7|php8|phar|pl|py|jsp|asp|aspx|cgi|sh|bash)$ { deny all; }） - TP6 的
$file->move($path, $newName)返回对象后，务必检查返回值是否为false（移动失败可能因权限或路径问题）
最易被忽略的是：校验和重命名必须在同一个请求生命周期内完成，且不能依赖前端传来的任何文件名、type 或 size 字段——它们全不可信。真正可信的只有 $file->getRealPath() 指向的临时文件本身。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
