PHP怎么防止用户修改后缀名绕过文件类型检查-php教程-PHP中文网

pathinfo()仅取最后一个点后字符串为扩展名，如archive.tar.gz返回gz而非tar.gz；其设计遵循posix规范，不解析复合语义，故上传校验不可单靠此逻辑。

php怎么防止用户修改后缀名绕过文件类型检查

只校验 $_FILES['file']['name'] 的后缀名根本没用

攻击者上传 shell.php.jpg，你用 pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION) 拿到的是 jpg，就放行——但 Apache 可能按从右往左规则解析成 PHP；上传 shell.PHP，大小写没统一，白名单里只有 php，照样漏掉。更糟的是 shell.php%00.jpg（PHP 5.3.4 之前）或 shell.php.（Windows 自动去点），pathinfo 解析结果不可靠。

实操建议：

必须先用 strtolower() 统一小写再取后缀
用正则剥离文件名末尾所有点、空格、%00 等干扰字符，再取扩展名
白名单显式列出全部允许项：['jpg', 'jpeg', 'png', 'gif']，不写通配符、不依赖黑名单
额外加一层黑名单拦截危险扩展：php、phtml、php3、php4、php5、phar、.htaccess

finfo_file() 是唯一靠谱的 MIME 校验方式

$_FILES['file']['type'] 是浏览器传来的，改个 Content-Type: image/jpeg 就绕过，完全不能信。真正有效的服务端 MIME 检查得靠 finfo_file() 读取文件头（magic bytes）。

示例逻辑：

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mimeType = finfo_file($finfo, $_FILES['file']['tmp_name']);
finfo_close($finfo);

if (!in_array($mimeType, ['image/jpeg', 'image/png', 'image/gif'])) {
    die('MIME 类型不匹配');
}

注意：

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

finfo_file() 仍可能被构造头部绕过（如图片马），所以只能作为辅助手段，不能单独依赖
必须配合扩展名白名单 + 文件内容检测（如 getimagesize()）一起用
如果上传非图片类文件（比如 PDF、DOCX），需对应调整白名单和检测函数

重命名时必须丢弃原始文件名中的所有点和斜杠

攻击者传 ../../.htaccess 或 shell.php.jpg，你重命名为 uniqid().'.jpg' 还是不够——因为没清理原始名里的路径分隔符和多点结构，可能导致目录穿越或 Apache 多后缀解析漏洞。

安全重命名做法：

用 basename() 剥离路径，再用正则 preg_replace('/[./\\s]+/', '_', $originalName) 替换所有危险字符
扩展名强制从白名单中取，不拼接原始后缀
最终文件名格式： uniqid() . '_' . $safeName . '.' . $allowedExtension
上传路径必须硬编码为绝对路径，避免用户可控变量拼入

上传目录必须禁止执行 PHP 脚本

即使前面全做对了，只要上传目录的 Web 服务器配置允许执行 PHP，攻击者上传的合法图片里嵌了一句话（图片马），再配合文件包含漏洞，照样 getshell。

关键配置动作：

Apache：在上传目录下放 .htaccess，内容为 SetHandler default-handler 或 RemoveHandler .php .phtml
Nginx：在 server 或 location 块中加 location ~ ^/uploads/.*.(php|phtml|php3|php4|php5|phar|htaccess)$ { deny all; }
最彻底方案：把上传目录放到 Web 根目录之外，用脚本读取并输出（不通过 URL 直接访问）

这步最容易被忽略——很多开发者以为“后端校验严一点就安全了”，其实最后执行权限才是防线终点。