finfo_file比mime_content_type更可靠，因其基于现代libmagic库、支持自定义magic数据库、可配置检测选项，而mime_content_type依赖过时系统magic文件、路径硬编码、不支持非seekable流且PHP 8.0+已废弃移除。
为什么 finfo_file 比 mime_content_type 更可靠
mime_content_type 函数在 PHP 8.0 已被标记为废弃，8.3 中彻底移除。它依赖系统级的 mime.magic 文件，路径硬编码、不可配置，且无法指定文件指针位置，对非 seekable 流（比如 fopen('php://input', 'r')）直接失败。实际项目中常见“返回空字符串”或“false”，但不报错，排查困难。
替代方案必须用 finfo_open + finfo_file 组合：
$finfo = finfo_open(FILEINFO_MIME_TYPE); $type = finfo_file($finfo, '/path/to/file.jpg'); finfo_close($finfo); // 必须手动关闭，否则资源泄漏
-
FILEINFO_MIME_TYPE只返回类型（如image/jpeg），加FILEINFO_MIME才带编码（image/jpeg; charset=binary） - 传入路径时，文件必须可读；传入资源句柄（如
fopen返回值）也支持，但需确保是真实文件流，不能是php://memory这类无长度的伪流 - Windows 下若提示
Failed to load magic database，说明未启用fileinfo扩展，或mime.magic路径未在 php.ini 中配置（mime_magic.magicfile）
上传文件时怎么安全检测真实类型
仅靠 $_FILES['xxx']['type'] 完全不可信——那是浏览器传来的字符串，可任意伪造。必须读取文件内容本身。
典型操作流程：
立即学习“PHP免费学习笔记（深入）”；
$tmpFile = $_FILES['upload']['tmp_name'];
if (!is_uploaded_file($tmpFile)) {
die('Invalid upload');
}
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mimeType = finfo_file($finfo, $tmpFile);
finfo_close($finfo);
// 白名单校验，不要用黑名单
$allowed = ['image/jpeg', 'image/png', 'application/pdf'];
if (!in_array($mimeType, $allowed, true)) {
die('Unsupported file type: ' . htmlspecialchars($mimeType));
}
- 务必先调用
is_uploaded_file，防止本地文件路径穿越攻击 - 不要用
getimagesize()替代——它只识别图像，且对构造过的恶意 JPEG 可能解析成功但执行危险代码 - 如果上传的是 ZIP 或 DOCX，
finfo_file返回application/zip，但内部仍可能含恶意脚本；MIME 检测只是第一道关卡，不是最终安全保证
处理内存中的二进制数据（如 base64 解码后）
当文件内容在变量里（比如 API 接收的 base64 字符串），不能直接传路径给 finfo_file。得用 finfo_buffer：
$rawData = base64_decode($base64String); $finfo = finfo_open(FILEINFO_MIME_TYPE); $mimeType = finfo_buffer($finfo, $rawData); finfo_close($finfo);
-
finfo_buffer不依赖文件系统，适合微服务或 serverless 环境 - 注意内存占用：大文件（>10MB）直接 decode 到内存易触发
Allowed memory size exhausted，应优先走临时文件 +finfo_file - 某些旧版 libmagic 对极短 buffer（
常见错误：返回 application/octet-stream 或空字符串
这不是函数坏了，而是 libmagic 无法根据前几百字节确定类型，属于正常 fallback 行为。
- 检查文件是否真有内容：
filesize($path) === 0会导致此结果 - 文本文件（如 .txt、.log）若无 BOM 且纯 ASCII，常被识别为
text/plain；但若开头是空格或注释，部分 magic 数据库会退到application/octet-stream - 自定义格式（如加密容器、私有协议包）必然无法识别，别指望它猜出来——这时应结合文件扩展名做二级判断，但前提是扩展名已由可信来源提供
- PHP 运行用户（如 www-data）对 magic 数据库文件无读权限时，
finfo_open会静默失败并返回 false，后续所有调用都无效；可用var_dump(finfo_open(...))验证是否成功初始化
真实项目里，MIME 类型检测从来不是孤立步骤。它必须和文件大小限制、扩展名白名单、病毒扫描、内容解析（如 PDF 结构校验）配合使用，缺一不可。单独依赖任一环节，都容易被绕过。
