validate(['fileext' => 'jpg,png']) 不拦PDF是因为仅校验扩展名，不检测二进制内容；需改用 validate(['mime' => 'image/jpeg,image/png']) 并确保 fileinfo 扩展启用。
为什么 validate(['fileext' => 'jpg,png']) 不拦住 PDF 文件？
ThinkPHP 的上传验证默认只检查文件扩展名，不读取实际二进制内容。用户把 report.pdf 改名为 report.jpg，校验就直接通过了——这不是 bug，是设计如此。
真正校验 MIME 类型必须启用 mime 规则，且依赖服务端的 finfo_open() 扩展（PHP 默认开启，但部分 Docker 镜像或精简版 PHP 会关闭）。
- 确认是否启用：
php -m | grep fileinfo，无输出需重装或启用extension=fileinfo.so - 正确写法：
validate(['mime' => 'image/jpeg,image/png'])，不是image/jpg（注意是jpeg，不是jpg） - 若用
validate(['type' => 'image'])，底层会匹配所有以image/开头的 MIME，但依然依赖finfo，不是后缀判断
上传后 getMime() 返回空或 application/octet-stream 怎么办？
这是典型的内容探测失败：PHP 无法从文件头识别类型，常见于空文件、损坏文件、或被 Nginx/Apache 提前处理过（如开启了 mod_security 或某些反向代理强制重置 MIME）。
调试时先绕过框架，直接用原生 PHP 检查：
立即学习“PHP免费学习笔记（深入）”；
$finfo = finfo_open(FILEINFO_MIME_TYPE); var_dump(finfo_file($finfo, $_FILES['file']['tmp_name'])); finfo_close($finfo);
如果这里也返回 application/octet-stream，说明问题出在上传链路本身，而非 ThinkPHP。
- Nginx 用户检查是否有
client_max_body_size导致截断，或upload_pass_request_headers off干扰了临时文件完整性 - CLI 环境测试时，
$_FILES可能为空——ThinkPHP 的上传类不支持 CLI 模式下的模拟上传 - Windows + IIS 组合下，有时
tmp_name路径含空格或中文，finfo_file()会静默失败，建议先move_uploaded_file()到安全路径再探测
如何让错误信息明确指出是 MIME 不匹配，而不是笼统的“上传失败”？
ThinkPHP 默认把所有上传异常统一抛出 UploadException，堆栈里才藏具体原因。想快速定位，得主动触发并捕获校验逻辑：
不要等 $file->move() 报错，先手动调用验证：
$result = $file->validate(['mime' => 'image/*']);
if (true !== $result) {
echo 'MIME 校验失败：' . $result; // 这里 $result 是字符串错误信息
}
注意：validate() 返回 true 表示通过，字符串表示失败原因（比如 "上传文件的MIME类型不允许"），不是布尔值。
- 自定义错误语言包时，修改
zh-cn.php中的'upload_mime_not_allowed'条目，避免中英文混杂 - 前端传多个文件时，
$file是单个File对象，需循环验证，不能对整个数组调用validate() - 使用
Request::file()获取文件对象后，务必检查是否为null（表单字段名不对、未设enctype="multipart/form-data"都会导致空）
生产环境禁用 finfo 时怎么安全降级？
有些共享主机或老旧系统确实无法启用 fileinfo，此时只能靠扩展名 + 文件头魔数（magic bytes）双校验。ThinkPHP 本身不提供魔数校验，需手动补充：
例如校验 PNG：读取前 8 字节是否为 \x89PNG\r\n\x1a\n；JPG 为 \xff\xd8\xff 开头。别硬编码，用现成工具更稳：
// 使用 think-helper 的 FileHelper（需 composer require topthink/think-helper）
use think\helper\File as FileHelper;
$bytes = file_get_contents($_FILES['file']['tmp_name'], false, null, 0, 4);
if (!FileHelper::isJpg($bytes) && !FileHelper::isPng($bytes)) {
throw new \Exception('非法图片格式');
}
- 仅靠魔数仍可能被绕过（如 ZIP 文件开头塞 JPG 头），关键业务必须搭配后端病毒扫描（如 ClamAV）
- 不要用
exif_imagetype()降级——它只支持图像，且对 WebP、AVIF 等新格式返回0，易误判 - 所有手动读取操作都需加
is_uploaded_file()校验，防止 LFI 利用
MIME 校验不是开关一开就万事大吉的事，它横跨 PHP 扩展、Web 服务器配置、浏览器行为、甚至文件系统权限。最常被忽略的是：你以为在测 ThinkPHP，其实卡在 Nginx 的 client_header_timeout 或 SELinux 的上下文限制里。
