symfony中上传文件不应存入public/目录，因其为web根路径，直接暴露于公网，易导致恶意脚本执行；应存至var/uploads等私有路径，通过受控路由提供安全访问。
直接把上传文件写入 public/ 目录存在明显风险，不建议这么做。Symfony 6.4 的 public/ 是 Web 服务器直接可访问的根路径，任何放进去的文件都会被用户通过 URL 直接下载或执行——比如上传一个 shell.php，攻击者就能远程执行任意代码。
为什么 public/ 不该存上传文件
Web 服务器（如 Nginx、Apache）默认将 public/ 设为 document root，意味着：
- 所有文件对公网可见，无自动权限隔离
- 用户可构造 URL 直接访问：
https://yoursite.com/uploads/malware.jpg - 若上传了可执行脚本（.php、.phar、.htaccess 等），可能触发服务端解析执行
- 无法统一控制缓存头、防盗链、访问频率等安全策略
更安全的替代方案
推荐把上传文件存到 Web 根目录之外的私有路径，再通过受控的 Symfony 路由提供访问：
-
存放位置：用
%kernel.project_dir%/var/uploads/（或自定义路径），确保该目录不在public/下，且 Web 服务器禁止直接访问 -
访问方式：定义一个控制器（如
DownloadController::show()），校验权限、生成临时签名 URL 或流式输出内容，不暴露真实路径 -
文件名处理：绝不使用原始文件名；改用 UUID + 安全扩展名（如
5a2b8c1d-3e4f-5g6h-7i8j-9k0l1m2n3o4p.jpg），并白名单过滤 MIME 类型 -
元数据分离：将文件名、大小、MIME、上传者、时间等信息存进数据库，文件本身只存哈希路径（如
var/uploads/ab/cd/5a2b8c1d.jpg）
如果必须用 public/ 存静态资源
仅限极少数场景（如 CMS 后台上传的公开图片），需叠加多层防护：
-
子目录隔离：固定存到
public/uploads/，并在 Web 服务器配置中禁用该目录下脚本执行（Nginx 加location ~ ^/uploads/.*\.(php|phar|sh|pl|py)$ { return 403; }） -
重写 MIME 检查：上传时用
finfo_file()严格验证真实类型，不能只信$_FILES['file']['type'] -
加随机前缀或子域名：例如托管到
static.yoursite.com/uploads/，与主站 Cookie 隔离，降低 XSS 或 CSRF 波及面 - 定期清理：设置 cron 清理 30 天未被访问的上传文件，避免积累垃圾或隐蔽后门
本质上，public/ 是“出口”，不是“仓库”。把上传逻辑和存储路径解耦，才能兼顾可用性与安全性。
