必须通过框架层validate()扩展名白名单、MIME类型联合校验、finfo真实类型映射重命名、非Web目录存储隔离及php.ini底层限制五层协同，才能有效防止恶意文件上传。
如果您在ThinkPHP项目中需要限制用户上传的文件类型，防止恶意脚本或不兼容格式被提交，则必须通过框架层验证规则与服务端真实类型校验协同实现。以下是设置上传文件类型限制的具体方法：
一、使用validate()配置扩展名白名单
ThinkPHP通过think\File对象的validate()方法执行扩展名校验，该规则仅比对客户端提交文件名的后缀，必须严格使用小写且无空格，是第一道基础过滤。
1、在控制器中获取上传文件对象：$file = request()->file('upload');
2、定义校验规则数组，键名为ext，值为全小写扩展名组成的索引数组：$rule = ['ext' => ['jpg', 'jpeg', 'png', 'pdf', 'docx']];
立即学习“PHP免费学习笔记（深入）”；
3、调用validate()方法传入规则：$file->validate($rule);
4、若校验失败，框架将抛出think\exception\FileValidateException，需用try-catch捕获并处理。
二、启用MIME类型联合校验
仅校验扩展名易被绕过，ThinkPHP支持mimes参数对上传文件的$_FILES['file']['type']字段进行比对，虽该字段可伪造，但与扩展名组合可提升初步拦截率。
1、在规则数组中增加mimes键：$rule = ['ext' => ['jpg', 'png'], 'mimes' => ['image/jpeg', 'image/png']];
2、确保$mimes值与$ext值存在逻辑对应，例如不允许jpg扩展名却允许application/pdf MIME；
3、调用$file->validate($rule)前确认未启用auto_rename=false，否则可能影响后续真实类型校验一致性；
4、注意该层校验不调用finfo_open()，不可替代二进制头检测。
三、强制重命名并绑定MIME映射表
为彻底规避双后缀、空字节截断等攻击，应丢弃原始文件名，根据真实MIME类型生成唯一文件名，实现扩展名与内容强一致。
1、启用自动重命名：$file->validate(['ext' => ['jpg', 'png'], 'auto_rename' => true]);
2、在move()之后立即调用finfo_file()获取真实MIME：$finfo = finfo_open(FILEINFO_MIME_TYPE); $realType = finfo_file($finfo, $file->getTmpName()); finfo_close($finfo);
3、建立MIME到扩展名的映射关系：$map = ['image/jpeg' => 'jpg', 'image/png' => 'png'];
4、若$realType不在$map中，或$map[$realType]与当前保存扩展名不一致，则拒绝保存并删除临时文件。
四、在非Web目录存储并禁用脚本执行
即使类型校验通过，上传目录若位于Web根路径下且允许PHP解析，仍可能被用于执行后门。必须从服务器层面切断执行链路。
1、将文件移入非公开目录，如runtime/upload/，而非public/uploads/；
2、若必须存放于public下，需在Nginx配置中明确禁止.php解析：location ~ ^/uploads/.*\.php$ { return 403; }；
3、Apache环境下，在uploads目录放置.htaccess文件：php_flag engine off；
4、Linux系统中确保上传目录权限为755且不属于www-data用户，防止Web进程写入可执行脚本。
五、配合php.ini底层限制形成防御纵深
框架层校验可能被绕过或未覆盖全部入口，php.ini中的全局设置构成不可绕过的硬性门槛，必须与应用规则保持数值协同。
1、检查并修改php.ini中upload_max_filesize值，例如设为20M；
2、同步调整post_max_size为略大值，例如25M，避免POST体截断；
3、确认file_uploads = On已启用，否则所有上传请求均被拒绝；
4、修改后必须重启Web服务，如systemctl restart nginx或systemctl restart apache2，否则配置不生效。
