必须完成模型层file或image验证规则配置，否则存在安全风险；需在rules()中设置extensions、maxsize、mimetypes等参数，并确保skiponempty=>false强制上传，推荐用image验证器校验真实图片头信息。
在Yii2中实现文件上传前必须完成验证，否则用户可能上传恶意文件、超大文件或非法格式，直接导致服务器风险或功能崩溃。
基础文件类型与大小验证
在模型类中定义 file 验证规则，这是最核心的一步。使用 'file' 验证器可同时控制扩展名、大小、MIME类型等维度。
打开你的上传模型（如 UploadForm），在 rules() 方法中添加如下规则：
[['imageFile'], 'file', 'skipOnEmpty' => false, 'extensions' => 'jpg, png, gif', 'maxSize' => 2097152, 'mimeTypes' => 'image/jpeg, image/png, image/gif']
注意：【'skipOnEmpty' => false 是强制上传的开关，漏掉会导致空提交通过验证】；maxSize 单位是字节，2097152 = 2MB；mimeTypes 比仅靠扩展名更安全，能防伪造后缀。
这一步不做，用户上传 .php 文件却命名为 avatar.jpg 就会绕过扩展名检查。
图片专用验证：用 image 验证器替代 file
如果你只处理图片上传，推荐改用 'image' 验证器——它会在服务端真正解析图片头信息，确认是合法图像，而非仅看后缀或 MIME。
方法一：替换原 file 规则
[['imageFile'], 'image', 'skipOnEmpty' => false, 'extensions' => 'jpg, png, gif', 'maxSize' => 2097152, 'minWidth' => 100, 'minHeight' => 100]
方法二：叠加验证（更严格）
保留 file 规则做基础过滤，再加一条 image 规则做深度校验：
[['imageFile'], 'file', 'extensions' => 'jpg, png', 'maxSize' => 2097152],[['imageFile'], 'image', 'minWidth' => 120, 'minHeight' => 120]
image 验证器会调用 GD 或 Imagick 库读取图像元数据，若文件非真实图片（如篡改过的 ZIP），验证直接失败。
动态扩展名白名单验证
当允许的文件类型需根据业务动态变化（例如管理员可传 PDF，普通用户只能传 JPG），不能硬编码在 rules() 中。
第一步：在模型中声明可配置属性
public $allowedExtensions = ['jpg', 'png'];
第二步：重写 validateFile() 方法并手动加入错误
public function validateFile() { if ($this->imageFile && !in_array(strtolower($this->imageFile->extension), $this->allowedExtensions)) { $this->addError('imageFile', '不支持的文件格式：' . $this->imageFile->extension); }}
第三步：在控制器中调用该方法
if ($model->validate() && $model->validateFile()) { ... }
这一步绕过了声明式规则，适合权限分级场景；但注意：必须显式调用 $model->validateFile()，否则不会触发。
客户端与服务端双重校验协同
前端限制只是体验优化，绝不能替代后端验证。但配合得当能减少无效请求。
在视图中使用 ActiveForm 渲染文件输入时，加上 HTML5 属性：
= $form->field($model, 'imageFile')->fileInput(['accept' => 'image/*', 'data-max-size' => '2097152']) ?>
其中 accept="image/*" 会让浏览器默认只显示图片文件；data-max-size 可被 JS 读取用于前端大小拦截（需额外写 JS 脚本读取并校验），但即使用户禁用 JS，后端 maxSize 仍生效。
不要依赖 accept 做安全过滤——它完全可被绕过。
验证失败时获取具体错误原因
调试阶段常需知道哪条规则没过。在控制器中打印完整错误信息：
if (!$model->validate()) { foreach ($model->getErrors() as $attribute => $errors) { foreach ($errors as $error) { echo "属性 {$attribute}：{$error}\n"; } }}
常见错误提示示例：“imageFile: 上传的文件太大。请上传不超过 2 MB 的文件。” 或 “imageFile: 请上传一个有效的图片文件。” ——这些都来自 file 或 image 验证器内置消息。
