防止上传恶意php木马的核心是切断“上传→解析→执行”链条，需服务端多重校验+上传目录禁用脚本解析，包括真实mime类型校验、安全重命名、白名单控制及web服务器配置禁用php执行。
防止上传恶意PHP木马，核心不是“拦住.php文件”，而是切断“上传→解析→执行”链条。只要其中任一环失效，攻击就无法落地。重点在服务端多重校验 + 目录执行权限控制。
严格校验文件真实类型（不止看后缀）
攻击者可把shell.php改成avatar.jpg，或在图片头部插入GIF89a<?php @eval($_POST['pass']);?>——仅靠扩展名或Content-Type完全无效。
- 用
finfo_open(FILEINFO_MIME_TYPE)读取文件幻数，获取真实MIME类型 - 只允许白名单类型，例如
image/jpeg、image/png、application/pdf - 拒绝
application/x-php、text/html、application/x-sh等危险类型 - 对图片类文件，可进一步调用
getimagesize()或进行二次渲染（重压缩），清除嵌入代码
彻底丢弃原始文件名，强制重命名
用户提交的shell.php.jpg、../etc/passwd、test.php%00.jpg都不可信，直接使用会引发路径遍历、00截断、解析漏洞等问题。
- 完全忽略
$_FILES['file']['name']，不提取扩展名、不拼接路径 - 生成唯一安全文件名，如
uniqid('up_').bin2hex(random_bytes(8)).'.png' - 扩展名由MIME类型映射决定（如确认是JPEG则固定加
.jpg），不采用用户输入 - 过滤掉
/、\、..、%00等危险字符
上传目录必须禁用脚本解析
这是最关键的兜底防护。即使木马被上传成功，只要服务器不把它当PHP执行，就只是个普通文件。
- Apache配置示例：
php_admin_flag engine off - Nginx配置示例：
location ~ ^/uploads/.*\.(php|php5|phtml)$ {
deny all;
} - 更彻底做法：将上传目录放在Web根目录之外（如
/var/data/uploads/），通过PHP脚本统一控制下载逻辑
配合其他基础防护措施
单一手段易被绕过，需叠加使用形成纵深防御：
- 限制单文件大小（
upload_max_filesize+ 脚本内$_FILES['file']['size']双校验） - 限制总上传数量，防批量上传爆破
- 关闭危险函数（
exec、system、shell_exec等） - 生产环境关闭
display_errors，避免泄露路径等敏感信息 - 必要时引入ClamAV等工具做病毒扫描（适合高安全要求场景）
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
