必须在服务端对文件扩展名、MIME类型和真实文件类型进行三重校验，并结合上传目录隔离与php.ini基础限制，才能有效防止恶意文件上传。
如果在PHP项目中需要限制用户上传的文件类型，防止恶意文件上传或格式不兼容问题，则必须在服务端对文件扩展名和MIME类型进行双重校验。以下是实现该功能的具体方法：
一、通过$_FILES['file']['type']校验MIME类型
MIME类型由浏览器提交，可被伪造，仅作初步过滤参考，不可单独依赖。需结合白名单机制比对预设允许的类型。
1、定义允许的MIME类型数组，例如：['image/jpeg', 'image/png', 'application/pdf']。
2、获取上传文件的type值：$_FILES['file']['type']。
立即学习“PHP免费学习笔记（深入）”；
3、使用in_array()判断该值是否存在于白名单中，若不在则拒绝上传并返回错误。
二、通过文件扩展名后缀校验
扩展名从客户端提交的文件名中提取，同样存在伪造风险，但配合服务端重命名可增强安全性。应剥离路径、统一转小写、匹配严格白名单。
1、使用pathinfo()提取上传文件名的扩展名：pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION)。
2、将扩展名转换为小写：strtolower($ext)。
3、比对预设白名单（如['jpg', 'jpeg', 'png', 'pdf']），不匹配则中断上传流程。
三、通过fileinfo扩展检测真实文件类型
fileinfo扩展利用文件二进制头信息识别真实类型，能有效防御扩展名与内容不符的伪装文件，是推荐的核心校验手段。
1、确认PHP已启用fileinfo扩展：extension=php_fileinfo.dll（Windows）或extension=fileinfo.so（Linux）。
2、使用finfo_open()创建资源，调用finfo_file()获取文件真实MIME类型。
3、将返回结果与白名单比对，例如：finfo_file($finfo, $_FILES['file']['tmp_name']) === 'image/jpeg'。
四、组合校验并设置上传目录隔离
单一校验易被绕过，应将MIME、扩展名、fileinfo结果三者同时满足才允许保存。同时上传文件不得直接存于Web可访问路径，须移至非公开目录。
1、创建独立上传存储路径，例如：/var/www/uploads/（Linux）或D:\php\uploads\（Windows）。
2、生成唯一文件名（如md5_file() + 时间戳），避免覆盖与猜测。
3、调用move_uploaded_file()将临时文件移入隔离目录，且不保留原始扩展名（可选）。
五、在php.ini中配置基础上传限制
php.ini中的全局设置构成第一道防线，影响所有上传行为，必须与脚本层校验协同生效。
1、修改file_uploads = On确保上传功能启用。
2、设置upload_max_filesize = 8M限制单个文件最大体积。
3、配置post_max_size = 10M确保POST数据总容量不低于上传限制。
