php 8.0 文件校验必须结合 finfo mime 探测、magic bytes 签名和白名单机制：弃用 $_files'file'，用 finfo_file 检测临时文件 mime，比对白名单；读取前16字节验证 jpeg/png/pdf 头部；重命名时映射安全扩展名，禁用原始文件名；thinkphp 8.0 应封装为验证器规则。
PHP 8.0 文件类型校验不能只靠 $_FILES['file']['type'] 或简单后缀判断——这些字段完全由客户端控制，极易伪造。真正可靠的校验必须结合 MIME 类型探测、二进制签名（magic bytes）和白名单机制，三者缺一不可。
用 finfo 检测真实 MIME 类型
抛弃 $_FILES['file']['type']，改用 PHP 内置的 finfo 扩展读取文件头字节：
- 初始化时指定
FILEINFO_MIME_TYPE模式，确保只返回 MIME 字符串（如image/jpeg） - 务必使用临时文件路径：
finfo_file($finfo, $_FILES['file']['tmp_name'])，而非上传前的原始内容 - 检测结果需严格比对白名单，例如：
in_array($mime, ['image/png', 'image/jpeg', 'application/pdf'], true) - 避免使用
finfo_buffer()处理大文件，易触发内存溢出；优先走磁盘临时文件路径
补充 magic bytes 校验防绕过
某些攻击者会构造“双扩展”文件（如 shell.php.jpg），或篡改 finfo 可识别的头部字段。此时需手动验证前几个字节：
- JPEG：以
\xFF\xD8\xFF开头 - PNG：以
\x89\x50\x4E\x47\x0D\x0A\x1A\x0A开头 - PDF：以
%PDF-开头（注意 ASCII 字符） - 读取前 16 字节即可：
$header = file_get_contents($_FILES['file']['tmp_name'], false, null, 0, 16); - 匹配失败立即拒绝，不依赖后续逻辑
保存路径与扩展名必须解耦
文件名中的扩展名绝不能信任，也不应直接拼接进存储路径：
- 从白名单 MIME 映射出安全扩展名，例如
image/jpeg → .jpg，application/msword → .doc - 生成新文件名用
uniqid() . $safe_ext，禁用原始$_FILES['file']['name'] - 保存目录必须落在 Web 可访问路径下（如
public/uploads/），且创建时加mkdir(..., 0755, true) - 写入后调用
exif_imagetype()（仅限图片）二次确认，非图片类型返回false
ThinkPHP 8.0 集成校验示例
在 TP8 中，推荐将上述逻辑封装为验证器规则，而非散落在控制器里：
- 定义验证规则：
['file' => 'require|fileMime:jpeg,png,pdf|fileExt:jpg,png,pdf'] - 其中
fileMime规则内部调用finfo+ 白名单，fileExt规则解析并校验扩展名（仅作辅助） - 上传成功后，用
think\File对象的validateType()方法主动触发 MIME 检查 - 富文本中 base64 图片另需 DOM 解析 +
data:image/xxx;base64,提取 + 同样流程校验，不可混用
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
