必须先检查$_FILES'file'是否为UPLOAD_ERR_OK（0），否则后续所有校验均无效；再用finfo_open(FILEINFO_MIME_TYPE)做真实MIME白名单校验，最后结合文件头（4字节）和getimagesize()双重验证图片类文件。
$_FILES['error'] 必须最先检查，否则后续校验全是空转
很多人一上来就解析 $_FILES['file']['type'] 或读文件头，却忽略 $_FILES['file']['error'] 是否为 UPLOAD_ERR_OK（值为 0）。只要不是这个值，说明上传根本没进 PHP 的处理流程——可能是被 Nginx 拦在网关外、被 PHP 配置静默丢弃，或临时目录不可写。此时 tmp_name 可能为空或无效，任何基于它的 finfo_open()、getimagesize() 都会报错或返回假阳性。
常见错误现象：move_uploaded_file() 返回 false，但 $_FILES['file']['error'] 是 1（UPLOAD_ERR_INI_SIZE）或 7（UPLOAD_ERR_NO_TMP_DIR），而日志里没提示。
- 务必把
if ($_FILES['file']['error'] !== UPLOAD_ERR_OK) { die('上传失败：' . $_FILES['file']['error']); }放在所有校验逻辑最前面 - 不要用
isset($_FILES['file'])判断上传是否存在——它可能非空但error已出错 -
UPLOAD_ERR_NO_FILE（4）是用户没选文件，不是服务端错误，可按业务逻辑跳过而非报错
finfo_open(FILEINFO_MIME_TYPE) 才是真实 MIME 校验的底线
Nginx 不解析文件内容，只转发原始 multipart 数据；浏览器发来的 $_FILES['file']['type'] 完全由前端控制，accept="image/*" 或 JS 检查毫无服务端意义。绕过方式极简单：改请求头、用 curl 构造、甚至拖一个 shell.php.jpg 进去。
必须用 finfo_open() 读取临时文件的真实二进制内容：
立即学习“PHP免费学习笔记（深入）”；
- 调用前确认
fileinfo扩展已启用（php -m | grep fileinfo） - 不要用
mime_content_type()——它已被标记为 deprecated，且在某些 PHP 版本中行为不一致 -
finfo_open(FILEINFO_MIME_TYPE)返回的是类型字符串（如image/jpeg），不是完整 MIME（不含; charset=...） - 校验时用白名单严格比对，别用
strpos($mime, 'image/')这类模糊匹配
文件头（magic bytes）校验不能只读 2 字节
网上很多示例用 fread($fp, 2) 判断 7790（即 MZ）来识别 exe，但 JPEG 实际需要前 4 字节 \xff\xd8\xff\xe0 或 \xff\xd8\xff\xe1，PNG 是 \x89\x50\x4e\x47，PDF 是 %PDF。只读 2 字节会漏判、误判。
更麻烦的是：Nginx 默认不限制上传内容，但若启用了某些模块（如 mod_security 规则），可能在传输途中修改或截断文件头——所以文件头校验必须放在 move_uploaded_file() 之后，且只读取目标文件（已落地、未被篡改）。
- 用
fopen($targetFile, 'rb')+fread(..., 4)读取已保存文件的头 - 对图片类文件，优先用
getimagesize()（它内部也读头）+finfo双重验证 - 避免在
tmp_name上做头校验——临时文件可能被其他进程干扰或清理
Nginx 配置不干涉类型校验，但会提前拦截导致校验失效
Nginx 本身不做 MIME 或后缀校验，但它通过 client_max_body_size 和 client_body_timeout 控制请求体能否抵达 PHP。如果设得太小（比如默认 1M），大文件上传直接返回 413，PHP 脚本根本不会执行，自然没有机会做任何校验。
更隐蔽的问题是：Nginx 若配置了 location ~ \.php$ 块但漏加 client_max_body_size，而主 server 块没设，就可能出现“小文件正常、大文件 413”的情况，让人误以为是 PHP 校验逻辑有问题。
- 检查
nginx.conf中client_max_body_size是否 ≥ PHP 的post_max_size - 确保该指令出现在生效的
location块内（常被遗漏在server级却没继承到 PHP 处理块） - 用
curl -v -F "file=@large.zip" http://yoursite/upload.php直接测 Nginx 层响应，排除前端干扰
$_FILES 解析——这中间隔着 Nginx 的 body 限制、PHP 的 ini 拦截、临时目录权限三道关。漏掉任意一环，你写的再严密的 finfo 和文件头比对，都只是在空转。 
