ThinkPHP文件上传防御必须全链路加固：禁用前端校验，服务端严格白名单（jpg/jpeg/png/gif/webp），二次校验文件头魔数，重命名存储于非Web目录，禁用remoteDownload与lang模块，关闭危险函数并审计日志。
ThinkPHP文件上传漏洞的防御，不能只靠“堵后缀”或“加个白名单”应付了事。真正有效的方案，必须覆盖从请求入口到文件落地的全链路，尤其要针对框架特性做针对性加固。
绕过常见误区：前端校验、MIME伪造、大小写和双写
很多项目在前端用JS限制.jpg、.png，后端又只检查Content-Type为image/*——这等于没防。攻击者用Burp直接改包，把shell.php的Content-Type设成image/jpeg，再改成Shell.Php或shel.php5，就能轻松绕过。ThinkPHP默认的request()->file()获取文件对象后，若未二次提取真实扩展名（如忽略getClientOriginalExtension()被污染的风险），就极易中招。
- 禁用所有客户端校验作为安全依据，仅保留体验提示
- 服务端必须用
pathinfo($file->getInfo('name'), PATHINFO_EXTENSION)获取原始扩展名，而非依赖$_FILES或header - 白名单严格限定为
['jpg', 'jpeg', 'png', 'gif', 'webp']等纯静态格式，不接受任何PHP变体后缀
深度防御关键：文件内容检测 + 存储路径隔离
光靠扩展名和MIME还不够。攻击者常构造“图片马”，比如开头是GIF89a，后面紧跟<?php @eval($_POST[cmd]);?>。ThinkPHP项目需主动读取文件头512字节，用getimagesize()或手动比对魔数验证图像真实性；对非图像类文件（如PDF、DOCX），也应解析其结构头，拒绝含PHP标签或可执行脚本特征的内容。
- 上传目录必须脱离Web根目录（如放到
/data/uploads/而非public/uploads/） - 若必须放在Web可访问路径，需配合Web服务器配置禁止执行：Apache加
<FilesMatch "\.(php|phtml|phar)$">Deny from all</FilesMatch>，Nginx用location ~ \.(php|phtml|phar)$ { deny all; } - 生成文件名必须重命名（如
md5(uniqid()).'.png'），彻底丢弃原始文件名
ThinkPHP特有风险点：远程下载与多语言模块联动
ThinkAdmin等基于ThinkPHP的后台系统，常开启remoteDownload或lang模块。一旦上传功能允许解析远程URL（如http://attacker.com/shell.png），再结合QVD-2022-46174这类多语言远程包含漏洞，攻击者就能让框架把恶意文件当作语言包加载执行。因此，必须关闭非必要功能：
立即学习“PHP免费学习笔记（深入）”；
- 在
config/app.php中设置'lang_switch_on' => false，禁用动态语言切换 - 删除或重命名
extend/下自定义的远程文件下载类，避免file_get_contents($_GET['url'])类逻辑 - 检查所有使用
input()、I()获取参数并拼入文件路径的地方，统一替换为input('param/safe', '', 'htmlspecialchars')过滤
纵深加固：运行时环境与日志审计
即使代码层做到位，服务器配置松动也会前功尽弃。PHP需关闭危险函数：disable_functions = system,exec,passthru,shell_exec,proc_open,popen,pcntl_exec；同时启用open_basedir限制脚本只能访问指定目录。最后，所有上传行为必须记录完整日志：包括IP、时间、原始文件名、存储路径、检测结果。一旦发现shell.php.jpg被上传但检测失败，日志能立刻定位是哪一环失效。
- 定期扫描
uploads/目录下是否存在.htaccess、.user.ini等配置文件 - 用
find /var/www -name "*.php" -path "./public/uploads/*" -type f快速排查已上传的可执行文件 - 对ThinkPHP 5.1+项目，启用
app_debug = false并关闭错误回显，防止泄露路径信息
