php用pathinfo('.env', pathinfo_extension)可准确提取隐藏文件扩展名，返回'env'；需结合str_starts_with判断是否隐藏文件，并用fileinfo扩展基于文件头验证真实类型，防止扩展名伪造。
PHP需要准确识别.env这类以点开头的隐藏文件的真实后缀名，否则在文件上传校验、配置加载或安全扫描中可能误判为无扩展名或错误类型，导致配置泄露或绕过验证。
用pathinfo()正确提取.env的扩展名
直接调用pathinfo()并指定PATHINFO_EXTENSION常量，能稳定返回.env中的env部分。
执行：pathinfo('.env', PATHINFO_EXTENSION) → 返回字符串'env'。
这一步不依赖文件是否存在，纯路径解析，【.env是合法文件名，不是目录分隔符】，pathinfo不会将其误判为根路径或空扩展名。
若传入'.gitignore'，同样返回'gitignore'；传入'..config'则返回'config'——它只认最后一个点后的部分，符合真实后缀逻辑。
区分隐藏文件与普通文件的扩展名处理策略
方法一：统一用pathinfo()提取，再判断是否以点开头
获取扩展名后，检查原始文件名是否以.起始：$ext = pathinfo($filename, PATHINFO_EXTENSION); $is_hidden = str_starts_with($filename, '.');
方法二：对隐藏文件做二次归一化处理
若业务要求所有隐藏文件统一视为dotfile类型（如日志归类、权限控制），可手动覆盖：if (str_starts_with($filename, '.')) $ext = 'dotfile';
注意：不要用substr($filename, 0, 1) === '.'替代str_starts_with()，前者在多字节字符下可能出错。
结合fileinfo扩展验证.env文件真实类型
第一步：确认上传文件临时路径存在且可读
第二步：用finfo_open(FILEINFO_MIME_TYPE)打开魔数检测器
第三步：对$tmp_file执行finfo_file($finfo, $tmp_file) → 典型返回'text/plain'或'application/octet-stream'
这一步能揪出伪装成.env的二进制文件，比如攻击者上传.env.jpg但实际内容是JPEG图片——仅靠扩展名会误判，而fileinfo看的是文件头。
【必须用临时文件路径（$_FILES['file']['tmp_name']）检测，不能用原始文件名】，否则检测对象错误。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
