Webman本身不内置图片验证功能，需用webman-plugin/image动态缩放并校验width/height参数（1–2000像素）、format白名单（jpg/jpeg/png/webp）、缓存键md5($path.$w.$h.$fmt)防重复处理，避免OOM和DoS风险。
Webman 本身不内置图片验证功能，响应式图片验证需要你自行组合图像处理、HTTP 请求解析和响应生成逻辑。核心在于：用 webman-plugin/image 或 intervention/image 处理图片，配合路由参数或查询字符串动态控制尺寸/格式，并在响应前校验合法性。
如何用 webman-plugin/image 动态缩放并校验尺寸参数
该插件封装了 Intervention Image，适合 Webman 的生命周期管理。关键不是“自动验证”，而是你得主动拦截并判断 width、height 是否在合理范围内（比如 1–2000 像素），避免被恶意构造超大值导致内存溢出或 OOM。
- 在路由中接收
width和height查询参数，用filter_var($w, FILTER_VALIDATE_INT, [...])强制校验为整数 - 设置硬性上限，例如：
if ($width > 1920 || $height > 1080 || $width - 调用
$image->resize($width, $height, function ($constraint) { $constraint->aspectRatio(); })保持比例缩放 - 务必设置
->encode('webp', 80)等压缩质量，否则原图质量直出可能体积失控
为什么不能直接信任 $_GET 中的 format 参数
用户可随意传 ?format=php 或 ?format=svg，若不做白名单限制，可能触发不安全的编码行为或暴露原始文件结构。Intervention Image 支持的输出格式有限，且不同格式对透明度、动画支持差异大。
Webman 2.2.0
下载
Webman 2.2.0版本强化了 TCP/UDP 服务支持，优化路由组管理，并增强异步任务处理能力。结合协程与连接池技术，Webman 能轻松应对高并发场景，适用于网站、接口服务、即时通讯、物联网及游戏开发，兼具高性能、灵活扩展与稳定可靠，是多场景 PHP 服务开发的理想选择。
- 只允许
['jpg', 'jpeg', 'png', 'webp']，用in_array(strtolower($format), $allowed)校验 -
jpeg和jpg视为等效，但gif不建议用于响应式场景（不支持压缩质量调节，且无现代浏览器的srcset优势） - 若请求
webp但原图是 GIF，Intervention 默认转成静态 WebP——需提前判断是否要拒绝或降级
如何避免重复处理同一张图导致 CPU 浪费
响应式图片常被高频请求相同尺寸变体（如 /img/photo.jpg?width=320&format=webp），不加缓存会反复解码、缩放、编码。Webman 没有开箱即用的图片缓存中间件，得手动介入。
- 用
md5($original_path . $width . $height . $format)生成唯一缓存 key - 检查
runtime/cache/images/下对应.webp文件是否存在且未过期（建议 TTL 7 天） - 缓存命中则用
response()->withFile()直接返回，跳过所有图像处理流程 - 注意：Linux 下文件名长度限制和特殊字符（如 URL 中的
%20）需先urlencode再哈希，否则缓存键冲突
真正难的不是“怎么缩图”，而是边界控制——尺寸上限、格式白名单、缓存键构造、错误响应状态码（别用 200 返回空图或错误提示）。这些点漏掉任意一个，上线后都可能变成 DoS 入口或 CDN 缓存污染源。
