finfo_file 比 $_FILES'x' 可靠，因后者由浏览器伪造，而 finfo_file 基于文件二进制头部（magic bytes）识别 MIME 类型，精度高且防篡改。
为什么 finfo_file 比 $_FILES['x']['type'] 可靠
$_FILES['x']['type'] 完全由浏览器提交，前端可任意伪造，连 text/plain 都能伪装成 image/jpeg。真正校验必须读取文件二进制头部（magic bytes），finfo_file 是 PHP 唯一推荐的方案，它依赖系统 libmagic 数据库，识别精度远高于后缀或扩展名。
- 务必关闭
FILEINFO_MIME_TYPE的FILEINFO_NO_EXTENSION选项，否则可能误判带 BOM 的 PNG - Windows 下需确认 php.ini 启用了
extension=fileinfo，否则finfo_open()直接报错 - ThinkPHP 6+ 的
validate(['file' => 'image'])默认只检查后缀和$_FILES['type']，不触发真实 MIME 校验
ThinkPHP 中手动校验上传文件 MIME 的正确写法
不能依赖框架默认验证规则，必须在控制器或中间件里用 finfo_file 重检。关键点是：必须用临时文件路径（$_FILES['file']['tmp_name']），不能用移动后的路径，否则可能因权限或 SELinux 导致失败。
- 示例代码：
$finfo = finfo_open(FILEINFO_MIME_TYPE); $mimeType = finfo_file($finfo, $_FILES['avatar']['tmp_name']); finfo_close($finfo); if (!in_array($mimeType, ['image/jpeg', 'image/png', 'image/gif'])) { throw new \Exception('非法图片类型'); } - ThinkPHP 6 的
UploadFile对象可通过$file->getRealPath()获取临时路径，等价于$_FILES['x']['tmp_name'] - 避免用
getimagesize()替代 —— 它对非标准头（如 CMYK JPEG）易失败，且无法识别 WebP、AVIF 等新格式
常见绕过场景与防御补丁
攻击者会构造「双扩展名」文件（shell.php.jpg）、嵌入恶意 PHP 代码的图片（图片末尾追加 <?php system($_GET[1]);?>）、或利用 GD 库解析漏洞（如 CVE-2019-17158）。仅校验 MIME 不够。
- 必须配合「重编码」：用
imagecreatefromxxx()+imageXXX()生成新文件，剥离所有元数据和隐藏代码 - 禁用危险函数：确保
php.ini中disable_functions包含exec,passthru,shell_exec,system - 上传目录禁止执行：Web 服务器配置中，对
uploads/目录显式禁用php_flag engine off（Apache）或location ~ \.php$ { deny all; }（Nginx）
ThinkPHP 6+ 自定义验证规则封装建议
把 MIME 校验逻辑抽成独立验证器，避免每个控制器重复写 finfo。注意：验证器类里不能直接访问 $_FILES，要通过 $value->getRealPath() 获取临时路径。
立即学习“PHP免费学习笔记（深入）”；
- 创建
app/validate/MimeImage.php，rule方法内调用finfo_file并返回布尔值 - 在控制器中：
$this->validate($data, 'app\validate\MimeImage.image') - 别在验证规则里调用
moveTo()—— ThinkPHP 会在验证通过后自动移动，重复操作会导致tmp_name失效 - 如果项目用 Swoole 或协程，注意
finfo资源不是线程安全的，每次校验都应finfo_open+finfo_close
真实环境里，MIME 校验只是第一道门，后面还有文件内容重绘、目录执行权限、HTTP 头限制三道坎。少走一步，就可能让一张「正常」的二维码变成 WebShell 入口。
