finfo_file() 是唯一可靠的音频 MIME 校验方式，需用 FILEINFO_MIME_TYPE 模式校验临时文件魔术字节，并结合扩展名双向绑定、大小限制、安全路径及随机文件名等三重检查后才可 move_uploaded_file()。
finfo_file() 是唯一能信的音频 MIME 校验方式
浏览器传的 $_FILES['audio']['type'] 可以用 curl 任意伪造，比如把 shell.php 声明成 audio/mpeg，直接绕过。真正可靠的只有 finfo_file()——它读取临时文件前几百字节的“魔术字节”，识别真实类型。
必须用 FILEINFO_MIME_TYPE 模式（不是 FILEINFO_MIME），否则返回类似 audio/mpeg; charset=binary 的带编码字符串，in_array() 会匹配失败。
调用前先确认：$_FILES['audio']['tmp_name'] 存在、非空、且是合法上传临时路径（is_uploaded_file() 应返回 true）；否则 finfo_file() 可能静默失败或读取任意文件。
-
finfo_open(FILEINFO_MIME_TYPE)后必须finfo_close()，否则资源泄漏 - 白名单必须写完整 MIME 字符串：
['audio/mpeg', 'audio/wav', 'audio/ogg', 'audio/flac']，不能写'mpeg'或'audio/*' - 老旧环境要先检查
extension_loaded('fileinfo')，没启用就直接报错退出
常见音频 MIME 与魔数对应关系要心里有数
当 finfo_file() 返回 application/octet-stream 或空字符串，不一定是代码错了，很可能是文件头被截断或损坏。这时候得手动读前几个字节做兜底校验：
立即学习“PHP免费学习笔记（深入）”；
-
mp3：前 3 字节通常是49 44 33（ID3）或FF FB（MPEG frame） -
wav：前 4 字节固定为52 49 46 46（RIFF） -
ogg：前 4 字节是4F 67 67 53（OggS） -
flac：前 4 字节是66 4C 61 43（fLaC）
示例片段：
$fp = fopen($_FILES['audio']['tmp_name'], 'rb');
$head = fread($fp, 8);
fclose($fp);
$hex = bin2hex($head);
if (substr($hex, 0, 6) === '494433' || substr($hex, 0, 4) === 'fffb') {
$realType = 'audio/mpeg';
}
扩展名和 MIME 必须双向绑定，不能只校验一边
用户传 evil.mp3.php 或 hack.WAV 很常见，单靠 pathinfo($_FILES['audio']['name'], PATHINFO_EXTENSION) 提取后缀再转小写，只能防住低级伪造。真正安全的做法是：用 finfo_file() 得到真实 MIME 后，查一个严格映射表，看它该对应哪个扩展名，再比对客户端传的扩展名是否完全一致。
- 映射表必须一一对应：
['audio/mpeg' => 'mp3', 'audio/wav' => 'wav'] - 客户端扩展名必须用
strtolower()统一处理，避免MP3和mp3被当成不同值 - 如果 MIME 在映射表里没有，直接拒绝；如果扩展名不匹配，也拒绝——两者缺一不可
- 别用
explode('.', $filename)，它无法处理notes.v2.0.mp3这类多点文件名
move_uploaded_file() 前必须完成三重检查
哪怕前面都做了，最后一步仍可能翻车。这三件事必须在调用 move_uploaded_file() 前全部确认：
-
finfo_file()返回的 MIME 在白名单内 - 客户端扩展名与 MIME 映射表完全一致
-
$_FILES['audio']['size']≤ 业务允许的最大值（比如 50MB），且该值 ≤ini_get('upload_max_filesize')
目标路径必须是绝对路径（如 __DIR__ . '/storage/audio/'），目录需存在且 PHP 进程有写权限；上传目录绝不能放在 Web 可访问路径下（如 public/uploads/），更不能允许执行脚本（Apache 要加 php_flag engine off，Nginx 要配 location ~ \.php$ { deny all; }）。
生成新文件名时，原始文件名一个字都不能留——用 uniqid('audio_') . bin2hex(random_bytes(6)) 加上从 MIME 映射来的固定后缀，比如 audio_65a7b2c8d9e0.mp3。
