PHP文件上传需服务端多层防御：校验真实MIME类型、安全重命名防遍历、隔离存储禁直接执行，并叠加大小限制、图像重压缩、病毒扫描与日志审计。
PHP文件上传看似简单，但稍有疏忽就可能引发远程代码执行、WebShell上传、恶意脚本注入等高危风险。仅靠前端限制或简单后缀检查远远不够，必须在服务端实施多层防御：严格校验文件真实类型、重命名避免路径遍历、隔离存储杜绝直接执行、配合权限与环境加固。下面从关键环节出发，给出可落地的安全实现方案。
校验文件真实类型，而非依赖扩展名或$_FILES['type']
浏览器提交的$_FILES['file']['type']完全由客户端控制，可轻易伪造；仅检查.php后缀也无效（攻击者可传shell.jpg.php或绕过大小写）。正确做法是读取文件头（magic bytes）并用finfo_file()识别MIME类型：
- 启用fileinfo扩展（PHP默认开启，确认extension=fileinfo在php.ini中未被注释）
- 使用$finfo = finfo_open(FILEINFO_MIME_TYPE)获取真实MIME，如image/jpeg、application/pdf
- 白名单匹配，拒绝text/html、application/x-php、application/x-sh等危险类型
- 对图片类文件，可额外调用getimagesize()验证是否为有效图像（返回非false）
安全重命名与路径控制，杜绝遍历和覆盖
原始文件名不可信，可能含../、空字节 原始文件名不可信，可能含../、空字节\0、特殊字符或长路径。必须彻底剥离原始名称，生成唯一、不可预测的新文件名：
- 用pathinfo($filename, PATHINFO_EXTENSION)提取扩展名，再结合uniqid() . random_bytes(8)生成哈希前缀
- 强制小写扩展名，并限定在预设白名单内（如['jpg','jpeg','png','pdf','docx']）
- 存储路径使用绝对路径常量，拼接时不用用户输入，例如：UPLOAD_DIR . '/' . $safe_name
- 上传前调用realpath()检测是否仍在目标目录下，防止../../../etc/passwd类绕过
隔离存储，禁止Web服务器直接执行
即使文件内容安全，若上传目录被Web服务器（如Nginx/Apache）当作脚本解析，仍可能触发执行。最稳妥方式是将文件存放在Web根目录之外：
立即学习“PHP免费学习笔记（深入）”；
- 例如Linux下设为/var/uploads/，确保该路径不在DocumentRoot或alias配置中
- 如需提供下载或访问，通过PHP脚本中转（如download.php?file=abc123.jpg），用readfile()输出，并设置Content-Disposition: attachment防止HTML渲染
- 若必须放Web目录内，需在Web服务器层面禁用脚本执行权限（Nginx中location ~ \.(php|sh|pl|py)$ { deny all; }）
- 上传目录系统权限设为755，文件设为644，且属主非Web服务运行用户（如www-data）
补充加固措施，形成纵深防御
单一防护易被绕过，应叠加多层检查：
- 限制upload_max_filesize和post_max_size（php.ini），并在PHP中用$_FILES['file']['error'] === UPLOAD_ERR_OK确认无截断错误
- 对图片文件，用GD或Imagick库重新压缩保存——可清除嵌入的PHP代码（如EXIF中的恶意payload）
- 上传后扫描病毒（如调用ClamAV CLI），尤其面向公众的文件分享类应用
- 记录上传日志（时间、IP、原始名、大小、MIME、存储路径），便于溯源审计
