PHP脚本怎么检测用户上传的是否为合法的ZIP压缩包-php教程-PHP中文网

zip_open()仅校验zip魔数pk\x03\x04，不验证完整结构，返回false可初步判定非zip；更可靠的是ziparchive::open()，它校验eocd并返回具体错误码。

php脚本怎么检测用户上传的是否为合法的zip压缩包

用 `zip_open()` 判断 ZIP 文件头是否有效

直接读文件头比解压更轻量，也更安全。PHP 的 zip_open() 内部会校验 ZIP signature（PK\x03\x04），如果文件开头不是合法 ZIP 标志，会立即返回 FALSE 或警告，不会尝试解析后续内容。

注意：它不校验整个 ZIP 结构完整性（比如中央目录偏移是否越界），只做基础格式识别。

必须确保上传文件已通过 is_uploaded_file() 验证，且路径是临时文件路径（如 $_FILES['file']['tmp_name']）
不要对未验证的用户输入路径调用 zip_open()，否则可能触发 open_basedir 或路径穿越风险
若返回 FALSE 或触发 E_WARNING（如 “Invalid or uninitialized Zip object”），基本可判定非 ZIP

用 `fread()` 手动检查 Magic Number

绕过 PHP 扩展依赖，适合禁用 zip 模块的环境。ZIP 文件固定以 4 字节魔数开头：PK\x03\x04（十六进制为 50 4B 03 04）。

这个方法快、无副作用，但仅能排除明显非法文件；伪造魔数的恶意文件仍可能通过——所以它只是第一道筛子，不能替代后续校验。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

打开文件需用 'rb' 模式，避免 Windows 下换行符干扰
只读前 4 字节，不要 fseek 或全量读取，防止大文件阻塞

示例判断逻辑：

$fp = fopen($tmp_path, 'rb');
$magic = fread($fp, 4);
fclose($fp);
if ($magic !== "\x50\x4B\x03\x04") { /* 非 ZIP */ }

用 `ZipArchive::open()` 获取结构级反馈

ZipArchive::open() 比 zip_open() 更严格：它会尝试定位中央目录，校验 EOCD（End of Central Directory）记录。返回值是具体错误码（如 ZIPARCHIVE::ER_NOZIP、ZIPARCHIVE::ER_INCONS），比布尔值更有诊断价值。

这是推荐的主力检测方式，尤其当你后续还要遍历文件或提取内容时，一次调用即可完成“合法性判断 + 实例准备”。

必须检查返回值是否为 TRUE，而非仅看是否抛出异常（默认不抛异常）
常见误判点：用户上传了 .zip 后缀但实际是 RAR/7z，或 ZIP 被截断（如网络中断上传），此时返回 ZIPARCHIVE::ER_INCONS 或 ZIPARCHIVE::ER_CRC
不要在 open() 后立刻调用 close() 再重开——如果后续要操作 ZIP，复用该实例更高效