<p>必须用 getimagesize() 或 exifimagetype() 做内容级校验，检查 $info[2] 是否为合法 IMAGETYPE* 常量；配合 File 约束限制 mimeTypes 和 maxSize；严禁依赖扩展名或客户端 MIME 类型。</p>
在 Symfony 7.3 中，仅靠文件扩展名或 MIME 类型声明无法防止图片伪装（比如把 PHP 文件改名为 .jpg 并伪造 image/jpeg 头），必须做内容级校验。核心思路是：**用 PHP 的 getimagesize() 或 exif_imagetype() 读取文件二进制头，确认其真实图像结构**，再结合 Symfony 的 File 约束做前置过滤。
用 getimagesize() 验证真实图像格式
这是最可靠的方式，它会解析文件前若干字节，识别是否为合法图像及具体类型（JPEG、PNG、GIF 等），不依赖扩展名或 HTTP 头。
- 在控制器或服务中调用：
$info = @getimagesize($file->getRealPath()); - 检查返回值：
is_array($info) && isset($info[2])，其中$info[2]是 IMAGETYPE_* 常量（如IMAGETYPE_JPEG） - 若返回
false，说明不是有效图像，直接拒绝 - 注意加
@抑制警告，因为损坏文件会触发 PHP 警告
配合 File 约束限制基础属性
在表单或手动验证中使用 File 约束，作为第一道防线：
- 设置
mimeTypes为真实图像类型：['image/jpeg', 'image/png', 'image/gif']（不要写application/jpg等错误值） - 指定
maxSize防止超大文件消耗资源，例如'5M' - 确保已安装
symfony/mime组件，否则 MIME 校验可能退化为扩展名匹配
避免常见陷阱
很多“伪装检测”失败是因为绕过了关键环节：
- 不要只校验
$file->getClientOriginalExtension()—— 攻击者可传shell.php.jpg - 不要信任
$file->getMimeType()—— 它基于扩展名或客户端 header，极易伪造 - 上传后立即校验，不要等 move() 完再查 —— 临时文件仍存在，
getRealPath()有效 - 若需支持 WebP，确认 PHP 编译时启用了
gd或imagick，且getimagesize()能识别（PHP 7.4+ 原生支持）
完整校验流程示例
在控制器中处理上传时，按顺序执行：
- 调用
$form->handleRequest($request)获取UploadedFile对象 - 先运行
$form->isValid()过滤大小和 MIME 类型 - 再用
getimagesize()检查真实图像结构 - 全部通过后，才调用
$file->move()保存
