Apache服务器配合PHP做文件类型安全校验的最佳实践-php教程-PHP中文网

不能信$_files'file'，因其由浏览器伪造、非服务端真实探测；必须用finfo_file()校验文件头、白名单限制扩展名、上传目录禁执行、强制重命名并分离存储路径。

apache服务器配合php做文件类型安全校验的最佳实践

直接靠 $_FILES['file']['type'] 做校验等于没校验，攻击者改个请求头就能绕过。真正的安全校验必须结合文件内容探测、扩展名白名单、MIME类型二次验证，并且上传目录本身不能被 Web 服务器直接执行。

为什么不能信 `$_FILES['file']['type']`

这个值完全由浏览器提交的 HTTP 请求头决定，不是 PHP 读取文件内容后得出的。用户用 curl 或 Burp Suite 伪造一个 Content-Type: image/jpeg，哪怕上传的是 shell.php，$_FILES['file']['type'] 也会显示 image/jpeg。

它只是客户端建议，服务端无义务遵守
PHP 不会自动解析文件二进制头来验证该值是否真实
所有仅依赖此项的判断逻辑都可被轻易绕过

用 `finfo_file()` 检查真实 MIME 类型

这是 PHP 官方推荐的内容探测方式，基于 libmagic 库读取文件前几百字节，识别实际编码格式。它不依赖扩展名或请求头，更接近“文件是什么”的事实。

必须用 FILEINFO_MIME_TYPE 模式，避免返回带参数的完整 MIME（如 image/jpeg; charset=binary）
只接受白名单中的类型，例如 ['image/jpeg', 'image/png', 'application/pdf']，不要用 strpos($mime, 'image/') !== false 这类模糊匹配
调用前要确认 tmp_name 是合法临时路径，且文件未被移动或删除

示例：

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$real_mime = finfo_file($finfo, $_FILES['upload']['tmp_name']);
finfo_close($finfo);

if (!in_array($real_mime, ['image/jpeg', 'image/png'])) {
    die('Invalid file type');
}

上传目录必须禁用脚本执行能力

即使校验通过，如果上传目录允许执行 PHP，攻击者仍可能上传伪装成图片的 Webshell（比如在 JPEG 文件末尾追加 <?php system($_GET['cmd']); ?>），再通过 Apache 的默认配置触发解析。

在上传目录（如 uploads/）下放一个 .htaccess，写入：SetHandler default-handler 和 php_flag engine off（Apache 2.4+ 推荐用 <filesmatch> Require all denied </filesmatch>）
确保该目录不在 DocumentRoot 下，或至少不与可执行脚本同级；理想情况是放在 Web 根目录之外
Linux 下设置目录权限为 755，文件为 644，禁止 777 或 g+w

重命名文件 + 分离存储路径是硬性要求

保留原始文件名风险极高：一是可能含路径遍历（../../etc/passwd），二是扩展名不可信（avatar.jpg.php 在某些 Apache 配置下仍会被当作 PHP 执行）。

生成唯一文件名，如 sha256_filecontent . '_' . time() . '.jpg'，或用 bin2hex(random_bytes(16))
从原始 name 中提取扩展名时，只取最后一个 . 后的部分，并强制映射到白名单中已知安全的类型（如 jpeg → jpg）
存储路径应与 Web 可访问路径分离：文件物理存于 /var/data/uploads/，但通过 PHP 代理脚本（如 serve.php?file=abc123.jpg）输出，配合 .htaccess Deny from All 禁止直连