必须在ThinkPHP框架层实施白名单校验来限制上传文件类型：一、用validate()配ext规则；二、move()链式调用validate()；三、配置文件预设+pathinfo手动校验；四、fileinfo扩展校验真实MIME；五、php.ini底层限制兜底。
如果您在ThinkPHP中需要限制用户上传的文件类型，防止非法格式或恶意文件被提交，则必须在框架层实施白名单校验。以下是实现上传文件类型限制的多种方法：
一、使用validate()方法配置ext规则
该方法通过think\File实例的validate()调用执行扩展名白名单校验，是ThinkPHP推荐的核心方式，仅对已成功接收的文件生效，要求扩展名全小写且无空格。
1、获取上传文件对象：$file = request()->file('image');
2、定义校验规则数组，其中ext键值为小写扩展名数组：$rule = ['ext' => ['jpg', 'png', 'pdf', 'xlsx']];
立即学习“PHP免费学习笔记（深入）”；
3、调用validate()方法传入规则：$file->validate($rule);
4、执行move()操作保存文件：$info = $file->move('uploads');
5、若校验失败，将抛出think\exception\FileValidateException，需用try-catch捕获其getMessage()获取提示信息。
二、在move()链式调用中嵌入validate()
此方式将验证逻辑与移动操作合并，代码更紧凑，适用于单次上传场景，同样依赖ext白名单且不支持通配符或MIME类型。
1、直接在move()前调用validate()并传入字符串形式的扩展名列表：$info = $file->validate(['ext' => 'jpg,png,gif,pdf'])->move('uploads');
2、注意字符串中扩展名须用英文逗号分隔，且全部为小写；若含空格（如'jpg, png'）会导致解析失败。
3、若上传文件扩展名为IMG.JPG，框架自动提取为jpg，因此规则中必须写成jpg而非JPG或jpeg（大小写敏感）。
三、通过配置文件预设upload参数并配合手动校验
该方法将允许扩展名定义在config/upload.php等配置文件中，便于统一维护，但需自行调用pathinfo()提取后缀并与白名单比对，绕过框架validate机制。
1、在配置文件中定义：'allow_exts' => ['docx', 'xlsx', 'pptx', 'pdf'];
2、使用pathinfo()从原始文件名提取扩展名：$ext = strtolower(pathinfo($file->getInfo('name'), PATHINFO_EXTENSION));
3、判断扩展名是否在白名单中：if (!in_array($ext, config('upload.allow_exts'))) { throw new Exception('不支持的文件类型'); }
4、确认通过后再执行move()：$file->move('uploads');
5、此方式可规避validate()对大小写和空格的严格限制，但不触发FileValidateException，需自行构造错误响应。
四、结合fileinfo扩展校验真实文件类型
该方法利用finfo_file()读取文件二进制头识别真实MIME类型，防御伪造后缀的恶意文件，属于增强型安全校验，必须启用PHP fileinfo扩展。
1、检查PHP是否启用fileinfo：extension=php_fileinfo.dll（Windows）或extension=fileinfo.so（Linux）；
2、创建finfo资源：$finfo = finfo_open(FILEINFO_MIME_TYPE);
3、获取临时文件的真实MIME：$realType = finfo_file($finfo, $file->getInfo('tmp_name'));
4、比对预设白名单：$allowedTypes = ['image/jpeg', 'image/png', 'application/pdf']; if (!in_array($realType, $allowedTypes)) { throw new Exception('文件内容类型不合法'); }
5、校验通过后关闭资源：finfo_close($finfo);
6、此步骤应置于validate()之后、move()之前，确保扩展名与真实类型双重匹配才允许保存。
五、在php.ini中设置底层上传限制作为兜底
该方法不属于ThinkPHP框架层控制，而是PHP运行环境的基础防护，用于拦截超限或禁用上传的请求，防止流量到达框架逻辑。
1、确认file_uploads = On，否则所有上传请求均被拒绝；
2、设置upload_max_filesize = 10M，限定单个文件最大体积；
3、设置post_max_size = 12M，该值必须大于等于upload_max_filesize；
4、若使用Nginx，还需配置client_max_body_size 12M；
5、若用户上传超限文件，PHP将返回UPLOAD_ERR_INI_SIZE错误码，此时$_FILES为空或error字段非0，ThinkPHP的validate()不会被触发。
