pathinfo()对tar.gz不可信，因其仅返回最后一段扩展名（如“gz”），无法识别多级后缀语义，且不校验文件真实内容，易被伪造后缀绕过安全校验；应结合finfo_open()检测mime类型与tar命令验证归档结构。
处理tar.gz文件时，不能只依赖pathinfo()提取的扩展名来判断文件类型，因为pathinfo()返回的是用户提供的文件名字符串中的后缀，而.tar.gz这类双层归档文件的真实格式需由实际内容决定——文件名可能被恶意篡改、后缀伪造或缺失，仅靠字符串匹配会绕过安全校验。
为什么pathinfo()对tar.gz不可信
pathinfo($filename, PATHINFO_EXTENSION) 返回的是文件名中最后一个点之后的部分，例如 archive.tar.gz 会返回 【gz】，而非 【tar.gz】。它完全不感知文件内容结构，也无法识别多级后缀的语义层级。
若用该结果做正则匹配，比如写成 /^(gz|bz2|xz)$/i，就会把 data.tar.gz 当作纯 gzip 文件处理，跳过 tar 解包步骤，导致解压失败或读取乱码。
更危险的是，攻击者可上传名为 shell.php.gz 的文件，pathinfo() 返回 【gz】，系统误判为安全压缩包并解压，实际解出的是 PHP Webshell。
真正可靠的验证路径
第一步：用 file 命令检测文件头（magic bytes）
file -b --mime-type archive.tar.gz → 返回 application/x-gzip 或 application/x-tar；若为 application/gzip，说明是纯 gzip 流，需先 gunzip 再 tar -xf；若为 application/x-tar，说明未压缩或已解压。
第二步：对疑似 tar.gz 文件执行 tar -tzf archive.tar.gz >/dev/null 2>&1，成功则确认是有效 tar+gzip 归档；失败则不是，或已损坏。
第三步：结合 MIME 类型与内容校验，而非仅依赖扩展名字符串 —— 这才是防御文件上传漏洞的关键防线。
PHP 中的安全替代方案
方法一：用 finfo_open() 检测真实 MIME 类型
$finfo = finfo_open(FILEINFO_MIME_TYPE); $mime = finfo_file($finfo, '/tmp/upload.tar.gz'); → 若返回 application/x-gzip，再用 gzopen() 尝试读取首字节是否为 \x1f\x8b；若返回 application/x-tar，直接用 PharData 或 tar -tf 验证。
方法二：强制重命名 + 内容解析
上传后立即生成随机名（如 tmp_5a3b9d8e.tar.gz），再调用 system("tar -tzf " . escapeshellarg($tmp_path) . " >/dev/null 2>&1", $retval)；【$retval !== 0 必须拒绝处理】。
