Nginx 通过 location 规则配合 if + deny 限制上传危险文件后缀，但需精准匹配上传目录或接口，且必须辅以 PHP 层真实扩展名校验和上传目录不可执行设置，否则易被绕过。
如何在 Nginx 配置中禁止上传特定文件类型
宝塔面板本身不直接提供「上传白名单」功能，真正起作用的是 Nginx 的 location 规则和 deny 指令。关键不是“限制用户选什么”，而是“拒绝服务器处理危险后缀的上传请求”。
常见错误是只改 PHP 的 upload_max_filesize 或宝塔的「PHP 设置」，这只能限制大小，对 .php、.jsp、.sh 等可执行文件毫无防御力。
- 在站点配置中找到
location ~ \.php$或location ~ ^/uploads/这类上传目录的区块 - 在该区块内添加：
if ($request_filename ~ \.(php|phtml|php3|php4|php5|phar|pl|py|jsp|asp|aspx|sh|exe|bat)$) { return 403; } - 注意：不能放在
location /根路径下，否则会误杀静态资源；必须精准匹配上传接口或上传目录 - 修改后务必执行
nginx -t检查语法，再systemctl reload nginx（或在宝塔界面点「重载配置」）
为什么 upload.php 接口仍可能绕过 Nginx 后缀限制
Nginx 只能按请求路径和文件名后缀拦截，但很多 CMS（如 WordPress、ThinkPHP）的上传逻辑是先存为临时随机名（如 tmp_abc123），再由 PHP rename 成目标名。此时 Nginx 看不到最终后缀，拦截失效。
- 必须配合 PHP 层校验：检查
$_FILES['file']['name']的真实扩展名，而非仅依赖$_FILES['file']['type']（后者可伪造） - 禁用
move_uploaded_file()对危险后缀的写入，例如用pathinfo($filename, PATHINFO_EXTENSION)提取后缀并比对白名单 - 上传目录设置为不可执行：在宝塔「网站根目录」右侧点击「设置」→「网站目录」→ 勾选「禁止访问 .php 文件」，这会自动在该目录下生成带
deny all;的子配置
宝塔后台能配但容易被忽略的安全开关
宝塔 8.x+ 版本在「网站」→「设置」→「防篡改」和「PHP 管理」里藏了几个关键选项，不开等于裸奔。
- 「防篡改」页中启用「防止网站被上传木马」：它会在站点配置中自动插入针对
/wp-content/、/uploads/、/public/等常见上传路径的location规则，但不会覆盖你手动写的规则 - 「PHP 管理」→「禁用函数」中确认已禁用
eval、assert、system、exec、shell_exec、passthru—— 即使木马上传成功，也难执行命令 - 「网站目录」页中关闭「开启防跨站攻击（open_basedir）」反而更危险：应保持开启，并确保其值包含当前网站路径（如
/www/wwwroot/your-site/:/tmp/:/proc/）
上传路径配置错误导致 403 或 500 的典型表现
加了限制后出现异常，往往不是规则写错，而是 location 匹配顺序或 root 路径冲突。
- 现象：上传图片返回 403，但图片实际已写入服务器 → 检查是否在
location ~ \.php$外又写了另一个location ^~ /uploads/，且里面漏了try_files $uri @php;导致 PHP 不接管 - 现象：所有请求变 500 → 检查
if是否写在了server块顶层（Nginx 官方明确不推荐），应始终嵌套在location内 - 现象：限制对 POST /upload.php 生效，但对 GET /uploads/shell.php 不生效 → 因为 GET 请求走的是静态文件逻辑，需单独加
location ~ ^/uploads/.*\.(php|jsp|sh)$ { deny all; }
deny all 和 open_basedir 的组合比单纯拦后缀更可靠。 
