Symfony 8.0 中文件上传安全校验须在服务端强制执行，核心是表单层用 Assert\File 约束或手动调用 Validator 校验，并确保启用 fileinfo 扩展、精确配置 MIME 类型、配合文件头扫描与安全存储。
在 Symfony 8.0 中限制上传文件大小与 MIME 类型，核心是服务端校验 —— 前端限制可被绕过，必须由后端强制执行。关键不在“怎么写”，而在“在哪写、怎么生效、如何防失效”。
表单层配置 File 约束（推荐用于标准表单）
若使用 Symfony 表单组件（如 HTML 表单提交），应在表单类型中显式添加 Assert\File 约束：
- 字段定义需包含
'required' => true，否则空文件会跳过全部验证 -
maxSize必须传字符串，如'5M'、'2048k'或'10000000'（字节），不能写整数 -
mimeTypes是真实 MIME 类型数组，不是扩展名，例如：['image/jpeg', 'image/png', 'application/pdf'] - 务必配
mimeTypesMessage和maxSizeMessage，便于用户理解失败原因
手动接收时用 Validator 独立校验（适用于 AJAX 场景）
当通过 fetch / FormData 发送异步请求时，$form->handleRequest() 不生效，需手动提取并校验：
- 从请求中获取文件：
$file = $request->files->get('avatar')（字段名须与前端formData.append('avatar', file)一致） - 检查基础状态：
$file instanceof UploadedFile && $file->getError() === UPLOAD_ERR_OK - 注入
ValidatorInterface，构造约束对象：$constraints = new File(['maxSize' => '2M', 'mimeTypes' => ['image/svg+xml', 'image/png']]);$violations = $validator->validate($file, $constraints); - 若
$violations->count() > 0，返回结构化 JSON 错误响应，不继续移动文件
确保 MIME 校验真正生效的三个前提
很多“白名单不生效”问题其实和代码无关，而是环境配置缺失：
- PHP
fileinfo扩展必须启用：php -m | grep fileinfo，未启用时getMimeType()会退化为扩展名猜测，极不安全 - MIME 白名单要覆盖常见变体，比如
image/jpeg还应加image/pjpeg；image/png可补image/x-png；全部小写 - 避免使用宽泛类型如
application/octet-stream或text/plain，它们容易被恶意文件命中
额外安全加固建议
仅靠大小和 MIME 不足以防御所有攻击，尤其对 ZIP、DOCX、SVG 等容器类文件：
- 上传后立即读取文件头（前 1024 字节），用正则检测是否含
<?php、<script等危险标记 - 对 ZIP 文件解压后扫描内部路径，禁止出现
../或.php后缀文件 - 目标目录不要放在 Web 可访问路径下（如
public/uploads/），应存于var/uploads/并通过控制器代理访问 - 生成文件名时丢弃原始名称，用哈希 + 安全扩展名（如
bin2hex(random_bytes(10)).'.pdf'）
