fileinfo扩展是PHP精准识别文件MIME类型的核心，依赖魔数而非文件名或客户端声明；需确认启用、优先使用finfo_open、确保magic数据库路径正确，并叠加魔数校验与白名单提升安全性。
PHP 中精准识别文件 MIME 类型，fileinfo 扩展是核心依赖。它不看文件名、不信任客户端提交的 $_FILES['file']['type']，而是直接读取文件头部字节（即“魔数”），匹配内置规则库，从而得出真实类型。要让它稳定、准确地工作，配置比写代码更重要。
确认扩展已启用并可用
fileinfo 不是默认总是开启的——尤其在精简版或旧环境里常被禁用。必须主动验证：
- 运行
var_dump(extension_loaded('fileinfo'));，返回true才表示已加载 - 若为
false，需检查php.ini中是否含extension=fileinfo（Linux/macOS）或extension=php_fileinfo.dll（Windows） - 修改后重启 Web 服务（如 Apache 或 PHP-FPM），再用
phpinfo()页面搜索 “fileinfo” 确认模块存在
推荐使用 finfo_open 而非 mime_content_type
mime_content_type() 函数已被标记为过时，行为在不同系统上不一致，且无法设置标志位，不建议用于生产环境。
- 始终优先使用
finfo_open(FILEINFO_MIME_TYPE)创建实例 -
FILEINFO_MIME_TYPE确保只返回纯净的 MIME 字符串（如image/png），不含编码信息 - 避免每次调用都新建/关闭资源：可复用一个
finfo实例（例如作为类属性或全局静态对象）
确保魔法数据库（magic file）路径正确
fileinfo 依赖操作系统或自定义的 magic 数据库来识别类型。若识别结果异常（如全返回 application/octet-stream），很可能是库缺失或路径错误。
立即学习“PHP免费学习笔记（深入）”；
- Linux 系统通常默认使用
/usr/share/misc/magic；可通过finfo_open(FILEINFO_MIME_TYPE, '/path/to/magic')显式指定 - 若部署在容器或无完整系统库的环境（如 Alpine），需手动安装
file包或挂载 magic 文件 - PHP 编译时若未指定
--with-magic，也可能导致 fallback 失效
配合白名单与魔数校验提升安全性
仅靠 fileinfo 仍不够——极少数构造文件可能绕过识别，或 libmagic 版本老旧导致误判。建议叠加基础防护：
- 对关键类型（如图片、PDF）做魔数硬校验：读取前 4–8 字节，比对十六进制签名（如 JPEG 是
ffd8ff，PNG 是89504e47） - 业务层严格限定 MIME 白名单：
in_array($mimeType, ['image/jpeg', 'image/png', 'application/pdf']) - 绝不单独依赖扩展名或
getimagesize()（后者对视频、文档完全无效）
