ThinkPHP本身无内置文件上传漏洞，所谓漏洞实为开发者业务层上传逻辑校验缺陷；修复须强制重命名并白名单后缀、finfo校验真实MIME、图片重绘剥离代码、上传目录禁执行、关闭调试模式及清理临时文件。

ThinkPHP本身没有内置的文件上传漏洞，所谓“上传漏洞”几乎全是开发者在业务层写的上传逻辑存在校验缺陷。修复关键不在升级框架（尤其像5.0.24、5.1.41这类已停止维护的版本），而在于堵死三个环节：输入不可信、内容不验证、环境不隔离。

强制重命名 + 白名单后缀

绝不能用$_FILES['file']['name']或input('file.ext')提取后缀——大小写（.PHP）、多点（a.php.）、NTFS流（shell.php::$DATA）都能绕过。

• 生成唯一文件名：用md5(uniqid() . mt_rand())或sha1(serialize($_FILES) . time())
• 后缀必须硬编码：如'.jpg'，而非从原名中截取
• 保存前统一转小写，并过滤空格、%00、../等路径污染字符

finfo真实校验MIME类型

$_FILES['type']和扩展名完全可伪造，必须读文件头确认真实类型。

• 用finfo_open(FILEINFO_MIME_TYPE) + finfo_file()获取MIME
• 只允许白名单：image/jpeg、image/png、image/gif
• 拒绝text/plain、application/php、application/x-php等高危类型

图片类文件必须重绘

getimagesize()和exif_imagetype()只读头部，无法识别图片末尾嵌入的PHP代码（即“图片马”）。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

• 用imagecreatefromjpeg()/imagecreatefrompng()加载原图
• 再用imagejpeg()/imagepng()重新输出，丢弃所有元数据和尾部数据
• 保存的是新生成的二进制流，不是原始tmp_name文件

上传目录禁执行 + 环境加固

即使文件名和内容都安全，服务器配置不当仍可能触发执行。

• Apache：在上传目录放.htaccess，内容为 SetHandler default-handler
• Nginx：对应location加deny all;，或设fastcgi_param SCRIPT_FILENAME "";
• PHP配置：关闭allow_url_include，上传目录不参与open_basedir，禁用exec、system等危险函数
• 权限：目录755，文件644，严禁chmod 777

关闭调试 + 清理临时痕迹

调试模式开启时，ThinkPHP会把上传失败的临时路径、错误堆栈、原始POST数据大量写入Runtime/Logs/，攻击者可据此定位恶意文件。

• 生产环境入口文件顶部强制定义：define('APP_DEBUG', false);
• 禁止Web直接访问Runtime/目录，用.htaccess或Nginx规则拦截
• 上传失败后，显式调用unlink($_FILES['file']['tmp_name'])清理临时文件

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！