Yii2文件上传需在控制器中实现回调验证，而非仅依赖客户端或模型层扩展名检查；通过自定义validateMimeType方法结合fileinfo解析二进制头校验真实MIME类型，并在upload()中依次执行模型验证、类型校验、大小复核、目录创建、安全命名、图像内容解析及可执行扩展名拦截，最后保存文件。
在Yii2中实现文件上传时，既要确保用户能成功提交文件，又要防止恶意文件绕过前端限制直接抵达服务器——这需要在控制器接收后、保存前完成一次可靠的回调验证，而非仅依赖表单层的客户端或模型层的简单扩展名检查。
创建带回调验证的上传模型
新建UploadForm.php，继承Model并声明imageFile属性，但【不直接使用file验证器做最终防线】，因为file规则仅校验$_FILES数组中的原始信息，无法拦截重命名后的恶意文件或伪造MIME头。
在rules()中保留基础格式约束，但禁用skipOnEmpty→设为true，避免空文件触发验证链：
[['imageFile'], 'file', 'skipOnEmpty' => true, 'extensions' => 'jpg, jpeg, png, gif']
新增自定义验证方法validateMimeType，用于在upload()调用validate()之后、saveAs()之前执行真实内容检测：
public function validateMimeType($attribute, $params)
该方法内部调用finfo_open(FILEINFO_MIME_TYPE)读取文件二进制头，比$_FILES['type']可靠十倍——浏览器可随意伪造type字段，而fileinfo解析的是实际字节流。
在upload()中插入回调验证逻辑
覆盖默认upload()，按顺序执行：模型验证→类型真实性校验→大小二次确认→保存。
第一步：调用$this->validate()触发表单规则和自定义validateMimeType。
第二步：若validate()返回false，直接return false，不继续执行。
第三步：手动检查$this->imageFile->size是否超过10MB（即使rules里写了maxSize，也要在回调里再判一次——因为某些PHP配置可能让maxSize失效）。
第四步：用file_exists('uploads/')确认目录存在且可写，不存在则mkdir('uploads', 0755, true)。
第五步：生成安全文件名——$safeName = uniqid('img_') . '.' . pathinfo($this->imageFile->name, PATHINFO_EXTENSION);，【绝不能直接用$_FILES['name']拼接路径】，否则可能触发路径遍历（如文件名含../）。
防御PHP Shell与图像马
对PNG/JPG文件，额外执行图像内容校验：用imagecreatefromstring(file_get_contents($tmpPath))尝试解析，失败则说明不是真图片。
对GIF，检查是否含恶意JavaScript注释块——用bindec(substr($rawData, 0, 8)) === 0x474946383761确认GIF87a签名，再扫描0xFE字节后是否紧跟恶意payload。
禁止保存.phar、.phtml、.php3等可执行扩展名，哪怕文件头看似正常——【一旦检测到这类扩展名，立即unlink($tmpPath)并抛出异常】。
最后一步：调用$this->imageFile->saveAs('uploads/' . $safeName)完成落盘。
