PHP 8.5.5 不自动防止文件上传漏洞，需依赖代码和服务器配置：用 finfo 校验真实 MIME 类型、白名单过滤、随机重命名、禁用上传目录脚本解析，并将目录置于 Web 根外。
PHP 8.5.5 本身不自动防止文件上传漏洞，必须靠你写的代码和服务器配置来堵住所有入口。 它只是提供了更稳定的 finfo、更严格的类型提示和更少的底层绕过路径，但如果你还在用 $_FILES['file']['type'] 做判断，或把上传文件直接放到 public/uploads/ 并允许 Nginx 解析 PHP，那版本再新也没用。
用 finfo_open() 校验真实 MIME 类型，别信 $_FILES['type']
浏览器传来的 $_FILES['file']['type'] 是 HTTP 请求头里随便填的字符串，finfo_file() 才是读文件头的真实依据。PHP 8.5.5 中 finfo 扩展默认启用且更稳定，但你得主动调用。
- 先确认 php.ini 中
extension=fileinfo已启用，重启服务 - 用
finfo_open(FILEINFO_MIME_TYPE)初始化句柄，别用getimagesize()—— 它不校验文件体，恶意 JPG 后面塞 PHP 代码也能过 - 调用
finfo_file($finfo, $_FILES['file']['tmp_name'])获取结果，例如'image/png'或'application/x-php' - 白名单必须显式列出：只允许
['image/jpeg', 'image/png', 'application/pdf']这类，禁止image/*通配 - 遇到
text/html、application/x-sh、application/x-php立即die()或抛异常
重命名 + 强制绑定扩展名，彻底丢弃原始文件名
攻击者传 shell.php.jpg 或 ../../.htaccess，不是为了好看，是为了绕过你“只检查后缀”的逻辑。PHP 8.5.5 不改变这个事实，它只让你的 pathinfo() 和 str_replace() 更可靠。
- 完全忽略
$_FILES['file']['name']，不用于拼路径、不用于生成存储名 - 用
uniqid('up_') . bin2hex(random_bytes(8))生成随机名，避免预测 - 根据上一步确认的 MIME 类型映射扩展名：
image/gif → '.gif'，不采用用户给的.jpg - 清洗原始名时，用
str_replace(['.', '/', '\', '%00'], '_', $name)防路径遍历和空字节 -
moveTo()必须传绝对路径，且目标目录不能被 Web 服务器直接访问（如/var/tmp/uploads/）
Web 服务器必须禁用上传目录的脚本解析能力
哪怕你 PHP 层校验再严，只要上传目录被 Apache/Nginx 当作 PHP 脚本执行，就等于开门揖盗。PHP 8.5.5 不管这事，它只管解释 PHP，不管你怎么部署。
立即学习“PHP免费学习笔记（深入）”；
- Nginx 配置示例：
location /upload/ { location ~ .(php|phtml|phar|sh|pl)$ { deny all; } } - Apache 配置示例：
<FilesMatch ".(php|phtml|phar)$"> Require all denied </FilesMatch> - 更彻底的做法：把上传目录放在 Web 根目录外，用 PHP 脚本读取后输出，加
header('Content-Type: image/png; charset=binary') - 上传完成后，用
file_get_contents($path, false, null, 0, 4)检查魔数（如），PDF 还要扫/JS关键字
最常被忽略的一点：上传完成不等于安全完成。有些漏洞在文件被其他模块读取、预览、转码或日志记录时才触发，所以校验不能只做一次，重命名不能只靠前端控制，而 Web 服务器配置这最后一道墙，永远比 PHP 代码更值得信赖。
