后缀校验必须在服务端做，ThinkPHP通过ext规则在think\File::validate()中校验文件名后缀，但仅依赖此易被绕过；需结合MIME检测、文件头校验及安全存储路径。
ThinkPHP 文件上传后缀校验在哪做
后缀校验必须在服务端做，且不能只靠客户端或前端 JS 判断。ThinkPHP 的 validate 配置里用 ext 字段限制后缀，但这是「信任文件名」的校验——攻击者只要把 shell.php.jpg 改成 shell.jpg，再配合解析漏洞，就能绕过。
-
ext校验只检查文件名后缀，不读取文件内容 - 实际生效位置在
think\File实例的validate()方法中，调用前需确保$file->validate(['ext' => 'jpg,png,gif']) - 如果用的是
Request::file()，记得传入验证规则，不是默认开启 - 别把
ext规则写死在控制器里，建议抽到配置或策略类中，方便统一管控
为什么光校验后缀不够：MIME 与内容检测必须补上
浏览器发来的 Content-Type 可以伪造，$_FILES['xxx']['type'] 完全不可信。ThinkPHP 不自动做 MIME 检查，更不会解析文件头（magic bytes），这意味着传个 php 内容、改个 .png 后缀就能过初筛。
- 真实场景中，攻击者常上传
webshell.png，内容却是 PHP 代码，靠 Web 服务器配置错误（如 Apache 将.png当 PHP 执行）触发 - ThinkPHP 没内置文件头检测，得自己读取前几个字节比对，比如 PNG 是
\x89PNG\r\n\x1a\n，GIF 是GIF87a或GIF89a - 用
finfo_open(FILEINFO_MIME_TYPE)做二次 MIME 推断更可靠，但注意开启fileinfo扩展，否则会 fallback 到不安全的字符串匹配 - 别用
getimagesize()验证图片——它不防伪装，且对非图片返回 false，容易被绕过
ThinkPHP 上传临时文件路径与 moveTo() 的坑
ThinkPHP 把上传文件暂存到 runtime/upload/（或自定义的 upload_tmp_dir），这个目录若可执行或被 Web 服务器映射为可访问路径，就等于给攻击者留了后门。
-
moveTo()前务必确认目标路径不在 Web 根目录下，比如写成public/uploads/就危险；推荐存到storage/app/uploads/这类非公开路径 - 调用
moveTo()后，原临时文件不会自动删除，但 ThinkPHP 通常会在脚本结束时清理；若手动exit或发生 fatal error，可能残留临时文件 - 不要用用户传入的原始文件名拼接存储路径，防止
../../etc/passwd类路径遍历，必须用uniqid()或哈希重命名 - Linux 下注意
moveTo()跨磁盘分区会失败，应先copy()+unlink()，或确保临时目录和目标目录在同一挂载点
如何组合校验：后缀 + MIME + 文件头 + 存储隔离
没有银弹，只有层层设防。ThinkPHP 提供了钩子和扩展点，但默认不启用严格模式，得自己串起来。
立即学习“PHP免费学习笔记（深入）”；
- 第一步：用
validate(['ext' => 'jpg,png'])过滤明显非法后缀 - 第二步：用
finfo_open()获取真实 MIME，对比白名单（如image/jpeg），拒绝text/plain或application/x-php - 第三步：对图片类文件，读取前 16 字节做 magic bytes 匹配，比如 PDF 必须以
%PDF开头 - 第四步：
moveTo()到非 Web 可访问路径，并用随机名存储，原始文件名仅存数据库字段，不用于路径构造
最易被忽略的是「临时文件残留」和「Web 服务器配置未同步更新」——哪怕代码全对，Apache 或 Nginx 还是把 .php 当脚本执行，那前面所有校验都白搭。
