ThinkPHP上传文件需先随机重命名再校验MIME并隔离目录，正确顺序是：生成时间戳+随机数+内容哈希前8位的新名，用finfo验证真实类型后映射可信扩展名，存至非Web可访问路径如runtime/upload/。
ThinkPHP上传文件时随机重命名，不是为了“防木马”本身，而是阻断攻击者对上传文件路径、名称的预判，配合真实类型校验和目录隔离，才能构成有效防线。只改名不校验 MIME、不隔离目录，等于给木马换了个房间号，它照常执行。
必须在 move 前完成重命名
重命名动作一定要发生在 $file->move() 或 $file->validate()->move() 调用之前。一旦文件已写入磁盘，再 rename 就失去防御意义——木马可能已被 Web 服务器解析执行（尤其当误放至 public/ 下）。
- 正确做法：用
uniqid() . mt_rand(100, 999)或md5_file($file->getTmpName()) . '.jpg'生成新名 - 推荐组合：时间戳 + 随机数 + 文件内容哈希前8位，例如
date('YmdHis') . '_' . substr(md5_file($file->getTmpName()), 0, 8) . '.png' - 绝不能保留原始文件名中的任何部分（如
$_FILES['file']['name']），否则可能带入恶意路径（../../shell.php）或双后缀（1.jpg.php）
重命名要和真实 MIME 校验绑定
随机名只是表层动作，核心是确保这个新名字只赋予通过 finfo_file() 验证的合法图像文件。ThinkPHP 的 validate 不支持直接传入临时文件路径做二进制校验，所以需封装为闭包规则：
- 在 validate 中嵌入
finfo_open(FILEINFO_MIME_TYPE)，读取$file->getTmpName() - 仅当
$realType属于['image/jpeg','image/png','image/gif']时，才允许进入 move 阶段 - move 目标路径使用你生成的随机文件名，例如
$savePath . '/' . $newName
上传目录必须与 Web 访问路径物理隔离
即使文件名完全随机、类型严格校验，如果存放在 public/ 或任何可通过 URL 直接访问的目录下，仍可能被 Nginx/Apache 的解析漏洞（如 .php.jpg 双后缀）、exif 注入、或配置疏漏触发执行。
- ThinkPHP 推荐存放路径：
runtime/upload/（默认不可 Web 访问） - 若需对外提供图片链接，应走独立静态资源域名（如
static.example.com），由专用服务读取 runtime 文件并返回，不暴露真实路径 - Nginx 必须显式禁用该目录下所有脚本执行：
location ~ \.(php|sh|pl|py|jsp|asp|htm|html)$ { deny all; }
别忘了扩展名映射要可信
随机重命名时，新文件的扩展名不能凭空指定，也不能照搬客户端后缀。应根据 finfo_file() 返回的真实 MIME 类型，查表映射出对应扩展名：
image/jpeg → .jpgimage/png → .pngimage/gif → .gif- 拒绝
image/svg+xml等可含脚本的类型，即使 finfo 识别为图像也不放行
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
