ThinkPHP导入Excel需四层防护：一是后端权限控制，用request()->file()获取文件并校验类型与大小；二是fileinfo二次校验真实MIME类型；三是字段白名单过滤及敏感数据校验；四是路由、角色或数据库权限动态控制。
ThinkPHP导入Excel时需限制谁可上传、传什么类型、多大体积、是否含敏感字段，否则任意用户都能提交恶意文件触发RCE或数据库注入。权限不是靠前端隐藏按钮实现，必须在后端层层校验。
第一步：上传入口权限控制
用 【request()->file('excel')】 获取文件对象，不能用 $_FILES 或 input('excel') —— 后者拿不到真实句柄，且无法调用 validate() 方法做格式校验。
先判断文件是否存在：if (!$file = $this->request->file('excel')) { return $this->error('未选择文件'); }
立刻执行验证，只允许 .xlsx 和 .xls：$file->validate(['size' => 10 * 1024 * 1024, 'ext' => ['xlsx', 'xls']])。注意 size 单位是字节，10MB 是硬上限，超限直接拦截，不进后续流程。
立即学习“PHP免费学习笔记（深入）”；
验证失败时，【不要继续执行 move() 或读取逻辑】，否则可能绕过限制——ThinkPHP 的 validate 是链式调用，失败返回 false，但不会自动中断，必须手动 return。
第二步：文件真实类型二次校验
客户端伪造的 MIME 类型（如把 .php 改名成 .xlsx）能骗过 ext 校验，必须用 fileinfo 扩展检查二进制头。
确保 PHP 已启用 fileinfo 扩展，否则 finfo_open(FILEINFO_MIME_TYPE) 会报错。
获取真实路径后，用 finfo 检查：$finfo = finfo_open(FILEINFO_MIME_TYPE); $mime = finfo_file($finfo, $file->getRealPath()); finfo_close($finfo);
只放行 application/vnd.openxmlformats-officedocument.spreadsheetml.sheet（.xlsx）和 application/vnd.ms-excel（.xls），其余一律拒绝。csv、html、xml 文件即使后缀对也不许进。
第三步：字段级数据权限过滤
Excel 表头可能含“密码”“身份证号”“银行卡号”等敏感字段，入库前必须剔除或脱敏。
读取第一行表头后，建立白名单映射：$allowFields = ['user_name', 'mobile', 'email', 'reg_time'];
遍历每一列标题，用 mb_strtolower(trim($header)) 统一转小写去空格，再匹配白名单键名。匹配不上就跳过整列，不参与后续解析。
若某列值为手机号，用正则 /^1[3-9]\d{9}$/ 校验；身份证号用 /^[1-9]\d{17}([0-9]|X)$/i；匹配失败则整行标记为“校验不通过”，不入库。
第四步：角色与路由级访问控制
方法一：用 ThinkPHP 内置的中间件控制路由权限
在 route/app.php 中绑定路由时加中间件：Route::post('import/excel', 'Import/excel')->middleware('checkRole:admin,editor');
方法二：在控制器方法开头手动校验if (!in_array(session('role'), ['admin', 'editor'])) { return $this->error('权限不足'); }。session('role') 必须由登录逻辑写入，不能依赖前端传参。
方法三：结合数据库权限表动态判断
查 auth_rule 表确认当前用户是否有 import_excel 权限码，有则放行，无则拒访。该方式支持后台随时开关权限，无需改代码。
