yii各版本上传安全核心是路径清理、扩展名校验、解析防护三环节：1.1需手动过滤文件名并校验extensionname；2.0用规则驱动但xml需libxml_disable_entity_loader；3.0强制di注入和绝对路径，移除xml::parse辅助。
Yii 不同版本对文件上传的处理方式差异明显，安全要点也随架构演进而变化。核心原则始终是：上传只是接收动作，真正的安全控制必须落在保存路径、内容校验、解析行为三个环节。
Yii 1.1：手动接管上传流程，重点防路径遍历和空值验证
Yii 1.1 没有内置强类型上传组件，依赖 CUploadedFile::getInstance() 获取对象，但不会自动过滤危险文件名或校验内容。
- 保存前必须清理文件名：用
basename()+pathinfo()提取扩展名，禁止直接拼接用户传入的原始名 - 扩展名白名单校验不能只靠前端或表单规则（
'types'=>'jpg,png'可被绕过），服务端需二次检查$file->extensionName - 上传字段在更新场景下默认参与验证，若允许“不改文件”，rules 中要加
'allowEmpty'=>true，否则空值触发必填错误导致整个表单保存失败 - 临时文件路径不可信，不要用
$_FILES['xxx']['tmp_name']直接解析，必须通过CUploadedFile实例调用saveAs()落盘后再操作
Yii 2.0：规则驱动 + 显式配置，XML/图片需额外设防
Yii 2.0 引入 UploadedFile::getInstance() 和验证规则，但框架本身不介入文件内容解析，XXE、恶意图片头等问题仍需手动处理。
- 表单必须声明
enctype="multipart/form-data"，否则$_FILES为空，框架报错模糊 - 限制大小和类型要双端控制：规则中写
['file', 'extensions' => 'xml', 'maxSize' => 2097152]，同时 PHP 配置upload_max_filesize和post_max_size匹配 - 上传 XML 后解析前，必须执行
libxml_disable_entity_loader(true)，再用simplexml_load_file()或DOMDocument::load()；若用后者，推荐加标志LIBXML_NOENT | LIBXML_NONET - 多图上传常用第三方小部件（如 AjaxUpload3.9），其配置项
fieldName和serverUrl需与控制器 action 严格对应，避免路由劫持
Yii 3.0：强制依赖注入 + 类型安全，上传逻辑须显式定义
Yii 3.0 彻底移除 Yii::$app 全局访问，所有上传行为必须通过 DI 容器注入的组件完成，不再有“隐式上传类”概念。
- 没有
UploadedFile静态方法，需使用yii\http\UploadedFile实例，且必须由请求对象（RequestInterface）显式提供 - 文件保存路径必须为绝对路径，且需提前验证目录可写——框架不再自动创建不存在的子目录，
mkdir($path, 0755, true)需开发者自己调用 - PHP 8.2+ 强制要求联合类型和属性提升，上传字段在模型中应声明为
public ?UploadedFile $file = null，避免运行时类型错误 - XML 解析完全脱离框架封装，必须手动配置 libxml 行为；
yii\helpers\Xml::parse()在 3.0 中已移除，不再提供任何解析辅助
从 1.1 到 3.0，上传安全不是靠框架“替你做”，而是靠你“明确知道在哪做”。路径清理、扩展名校验、外部实体禁用、PHP 配置同步——这些步骤一个都不能少，版本升级只是改变了写法，没改变本质。
