php 8.1 文件类型校验应采用“扩展名预筛 + mime 内容检测”双保险，优先用 finfo_open(fileinfo_mime_type) 获取真实 mime，结合白名单校验扩展名与 mime 的匹配性，并按图像、视频、文档分类处理，同时完善错误提示与日志记录。
PHP 8.1 中做文件类型校验，不能只看扩展名，也不能只靠 getimagesize() —— 前者易伪造，后者对视频/文档直接失败。真正可靠的做法是“扩展名预筛 + MIME 内容检测”双保险，再结合业务场景做分层处理。
用 finfo_open() 获取真实 MIME 类型
这是最权威的文件内容识别方式，基于 magic 数据库分析文件头字节，不依赖后缀或用户输入。
- 优先使用
finfo_open(FILEINFO_MIME_TYPE)获取标准 MIME 字符串（如image/jpeg、video/mp4） - 避免用
mime_content_type()（已废弃且行为不稳定） - 务必检查返回值是否为 false，并验证文件路径存在且可读
扩展名与 MIME 联合校验防绕过
单靠 MIME 可能放行恶意构造的“伪装文件”（如 PHP shell 改后缀但内容仍是脚本），需双向约束：
- 先按白名单过滤扩展名（如
['jpg', 'png', 'mp4', 'pdf']） - 再用
finfo检查实际 MIME 是否匹配该扩展名的合法类型（例如.pdf应对应application/pdf，而非text/plain） - 对图像类文件，可额外调用
getimagesize()确认可解析（仅作补充，不作主判据）
按业务分类定义类型判断逻辑
不同用途对精度要求不同，建议封装为可复用函数：
-
图像上传：MIME 必须以
image/开头，且扩展名在图像白名单中 -
视频上传：MIME 匹配常见视频类型（
video/mp4、video/webm等），拒绝application/octet-stream这类泛型类型 -
文档上传：严格比对 MIME 与扩展名映射表（如
.docx → application/vnd.openxmlformats-officedocument.wordprocessingml.document）
错误处理与日志记录要显式
类型校验失败不是异常，而是预期中的业务分支，应明确响应并留痕：
- 拒绝上传时返回清晰提示（如“文件类型不支持：检测到 text/html，仅允许 image/*”）
- 记录原始扩展名、检测到的 MIME、客户端 UA，便于追溯绕过尝试
- 对
finfo_open()初始化失败等底层错误，抛出带上下文的自定义异常（如FileMimeTypeDetectionFailedException）
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
