前端校验形同虚设，攻击者可禁用JS或抓包修改文件名、Content-Type绕过；后端仅依赖扩展名或$_FILES['type']极不安全，须用finfo_file()校验真实MIME类型并配合重命名、目录隔离等多层防护。
前端校验形同虚设
浏览器端用 JavaScript 检查文件后缀、MIME 类型或大小，只是提升体验的提示手段。攻击者可直接禁用 JS，或用 Burp Suite 抓包修改文件名、Content-Type 字段——服务器最终收到的数据完全不受前端控制。比如传一个 shell.php，前端拦住了，但抓包把文件名改成 1.jpg 再把 Content-Type 改成 image/jpeg，后端若只信这个字段，就真当它是图片。
服务端扩展名检查极易被绕过
仅用 pathinfo($filename, PATHINFO_EXTENSION) 取后缀做白名单比对，漏洞百出：
- 大小写混淆：如 shell.PHP 在 Windows/IIS 下仍被当作 PHP 执行
- 多点截断：上传 shell.php.jpg，旧版 Apache + mod_php 可能取最后一个点后的 jpg 过白名单，却按 .php.jpg 解析为 PHP
- 空字节注入：PHP 5.3.4 之前，shell.php%00.jpg 会被
move_uploaded_file()截断，实际保存为 shell.php - 末尾空格或点：Windows 自动清理 shell.php. （含空格）为 shell.php
伪造 MIME 类型毫无防护力
$_FILES['file']['type'] 完全由浏览器提交，可任意伪造。传一个 PHP 文件，只要前端或抓包把 Content-Type 设为 image/png，PHP 就会记录该值。绝不能拿它做判断依据。正确做法是用 finfo_file() 读取临时文件真实头部：
- 创建
$finfo = new finfo(FILEINFO_MIME_TYPE) - 调用
$realType = $finfo->file($_FILES['file']['tmp_name']) - 再与白名单（如 image/jpeg、image/png）严格比对
注意：文件头也可被精心构造伪造，所以这步必须配合其他措施，不能单独依赖。
立即学习“PHP免费学习笔记（深入）”；
构建真正安全的上传逻辑
单点防御必然失效，需多层隔离：
- 扩展名强制白名单：只允许 .jpg、.png、.gif 等明确安全的后缀；禁用黑名单
-
内容二次验证：图片类用
getimagesize()，非图片类用finfo_file()，两者结果必须一致且匹配扩展名 -
上传目录禁解析：Nginx 配置
location ~ \.(php|jsp|asp)$ { deny all; }；Apache 设置Options -ExecCGI并禁用AddHandler - 文件重命名+路径隔离：丢弃原始文件名，用时间戳+随机字符串重命名；上传目录不放在 Web 根目录下，或通过符号链接/别名方式访问
-
禁止危险函数：php.ini 中关闭
exec、system、eval等，降低恶意文件危害
