安全读取用户上传文件需五步：一、验证上传状态并用fileinfo校验真实MIME类型；二、过滤路径字符并检查realpath是否在允许目录内；三、禁用危险解析方式，优先用json_decode；四、限制文件大小与分块读取；五、设置临时文件权限为0600并立即清理。
如果您在PHP应用中需要读取用户上传的文件，但未对文件内容和路径进行严格校验，则可能引发任意文件读取、路径遍历或代码执行等安全风险。以下是安全读取用户上传文件的关键要点：
一、验证文件上传状态与类型
PHP中$_FILES数组仅反映客户端提交的上传元信息，不能直接信任。必须通过is_uploaded_file()确认文件确实由HTTP POST上传，并结合fileinfo扩展获取真实MIME类型，而非依赖$_FILES['type']字段（该字段可被篡改）。
1、使用is_uploaded_file($_FILES['file']['tmp_name'])判断临时文件是否为合法上传文件。
2、调用finfo_open(FILEINFO_MIME_TYPE)获取文件实际二进制类型，例如检测是否为text/plain或application/pdf。
立即学习“PHP免费学习笔记（深入）”；
3、将获取到的真实MIME类型与白名单数组比对，拒绝一切不在白名单中的类型，包括image/svg+xml、text/x-php等高危类型。
二、禁止直接使用用户输入构造文件路径
用户提交的文件名、ID或参数若未经处理即拼接进file_get_contents()、fopen()等函数，极易触发路径遍历（如../etc/passwd）。必须剥离所有路径字符并强制限定读取范围。
1、对用户传入的文件标识符（如filename、id）执行basename()或正则过滤，仅保留字母、数字、下划线和短横线，彻底移除点号、斜杠、反斜杠。
2、将清理后的名称与预设的安全目录路径拼接，例如$real_path = '/var/www/uploads/' . $clean_name;
3、调用realpath($real_path)获取绝对路径后，检查其是否仍位于允许目录内：若strpos(realpath($real_path), '/var/www/uploads/') !== 0，则立即中止读取。
三、禁用危险文件解析与执行
即使文件存储于Web不可访问目录，若后续以PHP、XML、YAML等方式解析其内容，仍可能导致远程代码执行或XXE攻击。必须隔离解析上下文并禁用外部实体。
1、读取文件后，若需解析为结构化数据，优先使用json_decode()而非eval()、create_function()或unserialize()。
2、若必须解析XML，初始化libxml_disable_entity_loader(true)，并在simplexml_load_string()前调用libxml_clear_errors()。
3、绝对禁止将用户上传文件内容作为PHP代码执行，包括include()、require()、eval()及其变体。
四、限制文件大小与读取长度
超大文件读取可能耗尽内存或触发超时，恶意构造的超长行或嵌套结构还可能引发解析器栈溢出。应主动控制资源消耗边界。
1、在php.ini中设置upload_max_filesize和post_max_size，并在脚本中通过$_FILES['file']['size']二次校验。
2、使用fopen()配合fread()分块读取，每次最多读取8192字节，累计超过预设阈值（如5MB）即终止。
3、对文本类文件，读取前先检测BOM头及首行长度，单行超过1024字符视为异常并拒绝处理。
五、设置临时文件权限与及时清理
上传后的临时文件若权限宽松或长期残留，可能被其他进程读取或覆盖，造成信息泄露或竞争条件漏洞。
1、调用chmod($_FILES['file']['tmp_name'], 0600)将临时文件权限设为仅属主可读写。
2、读取完成后立即调用unlink($_FILES['file']['tmp_name'])删除临时文件，不得延迟至脚本结束或依赖auto_cleanup机制。
3、若需暂存已校验文件，保存至独立隔离目录（如/var/www/uploaded_safe/），并确保该目录无Web服务器执行权限且不被公开访问。
