ThinkPHP6.1文件上传必须严格按五步执行：①判空获取File实例；②validate校验ext/size；③move前用getMime()或finfo_file()探测真实MIME；④白名单全等匹配+魔数校验；⑤move至非Web根目录并用安全扩展名重命名。
ThinkPHP6.1文件上传执行流程中，校验必须严格按顺序嵌入真实探测环节，不能跳过validate()直接move()，也不能在move()之后补校验——否则攻击者可利用shell.jpg.php等双后缀文件绕过检查并落地执行。
第一步：获取文件对象并判空
调用request()->file('upload')获取think\File实例，若返回null，说明表单未携带enctype="multipart/form-data"或name属性不匹配，后续所有步骤将失效。
【必须先判空】直接对null对象调用validate()会抛出Fatal Error，应写成：if (!$file = request()->file('upload')) { $this->error('未检测到上传文件'); }
第二步：基础规则校验（ext + size）
调用$file->validate(['ext' => 'jpg,png,gif', 'size' => 2097152])，注意ext值必须全小写、无点、逗号分隔；size单位为字节，且需确保PHP配置upload_max_filesize ≥ 2M。
立即学习“PHP免费学习笔记（深入）”；
这一步只校验客户端提交的原始文件名后缀和内容长度，不读取文件二进制头，因此无法识别shell.jpg这种伪装成图片的PHP文件。
第三步：真实MIME类型探测（关键防线）
方法一：使用框架封装的getMime()
在validate()通过后、move()之前插入：$realType = $file->getMime();，该方法内部调用finfo_file()，依赖系统libmagic数据库比对文件头部字节。
方法二：手动调用finfo_file()
先确认PHP已启用fileinfo扩展（php -m | grep fileinfo），再写：$finfo = finfo_open(FILEINFO_MIME_TYPE); $realType = finfo_file($finfo, $file->getRealPath()); finfo_close($finfo);
【不可在move()后调用】move()会重命名并移动临时文件，$file->getRealPath()指向的路径将失效，finfo_file()可能返回false或application/octet-stream。
第四步：白名单精确匹配与兜底魔数校验
① 用in_array($realType, ['image/jpeg', 'image/png', 'image/gif'], true)做严格全等判断，禁止用strpos模糊匹配——防止application/x-php被误放行。
② 若$realType为空或等于application/octet-stream，需读取前8字节做硬校验：$fp = fopen($file->getRealPath(), 'rb'); $head = fread($fp, 8); fclose($fp); $hex = bin2hex($head);
③ 对PNG校验substr($hex, 0, 8) === '89504e47'，对JPEG校验substr($hex, 0, 6) === 'ffd8ff'，不匹配则拒绝。
第五步：安全移动与重命名
调用$file->move('runtime/uploads/', uniqid() . '.' . $safeExt)，其中$safeExt必须来自白名单校验结果，而非原始文件名。
目标目录必须脱离Web根目录，如runtime/uploads/，严禁使用public/uploads/——否则即使校验通过，上传成功后仍可被Nginx/Apache直接解析执行。
