yii 2.0.43 无已知上传漏洞，风险源于开发配置不当；需严格校验扩展名与 mime 类型、重命名文件、隔离存储路径、禁用脚本执行、加固系统权限并确保验证失败时中断流程。
Yii 2.0.43 本身不包含已知的上传漏洞，但实际项目中出现“上传漏洞”几乎都源于开发者配置或代码实现不当，而非框架版本缺陷。该版本（发布于2022年）已内置安全机制，只要正确使用 UploadedFile、严格校验、隔离存储路径并关闭调试信息，即可有效防护。
严格限制允许的文件类型与 MIME
仅靠扩展名白名单（如 'extensions' => 'jpg,png,gif'）不够——攻击者可伪造后缀绕过。必须叠加 MIME 类型校验：
- 在模型
rules()中同时指定'mimeTypes' => ['image/jpeg', 'image/png', 'image/gif'] - 启用
'checkExtensionByMimeType' => true，让 Yii 读取文件头而非仅依赖后缀 - 禁用危险类型：显式排除
application/x-php、text/html、application/javascript
保存前重命名 + 隔离上传目录
绝不能直接使用用户提交的原始文件名和扩展名存入 Web 可访问路径：
- 生成唯一文件名：
$newName = uniqid() . '.' . $file->extension; - 目标路径必须是
@webroot/uploads/之外的非公开目录（如@app/runtime/uploads/），再通过控制器提供受控下载入口 - 若必须放 web 目录，确保 Nginx/Apache 禁止执行脚本：
Nginx 示例：location ~* ^/uploads/.*\.(php|sh|pl|py|jsp|asp|html?)$ { return 403; }
服务端权限与运行环境加固
即使代码无误，系统层疏漏也会导致上传文件被恶意利用：
- 上传目录（如
runtime/uploads）权限设为755，属主为 Web 进程用户（如www-data），禁止写入父级目录 - 确认
php.ini中disable_functions包含exec, system, shell_exec, passthru - 生产环境务必关闭调试：
YII_DEBUG = false，且display_errors = Off，防止路径泄露
验证失败必须中断流程，不可静默跳过
常见错误是 validate() 返回 false 后仍调用 saveAs()，导致非法文件落地：
- 控制器中必须显式判断：
if ($model->validate()) { $file->saveAs($path); } - 对多文件上传，逐个验证每个
UploadedFile实例，任一失败即终止整批处理 - 记录上传失败日志（不含原始文件名），便于审计异常行为模式
