必须信任服务端校验而非客户端Content-Type，PHP7.4中应使用finfo_open()读取文件魔数识别真实MIME类型，并结合扩展名白名单、重命名、上传目录禁用脚本执行等多层防御。
只信服务端，不信客户端传来的 Content-Type
浏览器提交的 Content-Type（即 MIME 类型）完全由攻击者控制，用 Burp Suite 一改就过。PHP7.4 中绝不能直接用 $_FILES['file']['type'] 做判断——它就是 HTTP 请求里的 Content-Type 字段，毫无可信度。
正确做法是：忽略这个字段，改用文件真实内容识别类型。
用 finfo_open() 读取二进制魔数，获取真实 MIME
这是 PHP7.4 官方推荐、最可靠的内容型 MIME 检测方式。它不看扩展名、不看头部字段，而是读取文件前几百字节（魔数），比对已知格式特征。
- 调用
finfo_open(FILEINFO_MIME_TYPE)打开检测器 - 用
finfo_file()传入临时文件句柄，返回真实 MIME 字符串（如image/jpeg） - 严格匹配白名单，比如只允许
image/png、application/pdf、text/plain - 遇到
text/html、application/x-php、application/x-sh等危险类型，立即拒绝
配合扩展名白名单 + 文件内容双重校验
单靠 MIME 校验还不够。攻击者可构造“图片马”：在合法图片末尾追加 PHP 代码，finfo 仍判为 image/jpeg，但服务器若错误解析执行，就会出事。
立即学习“PHP免费学习笔记（深入）”；
所以要叠加一层：
- 用
pathinfo($file['name'], PATHINFO_EXTENSION)提取原始扩展名，并转小写、去空格、删末尾点（防.php.绕过） - 仅允许白名单扩展名（如
png、jpg、pdf），黑名单永远有漏 - 对图片类文件，再调用
getimagesize()或exif_imagetype()验证是否真能被图像函数解析 - 关键操作：上传后重命名，去掉原始扩展名，用系统生成的随机名 + 白名单后缀（如
abc123.png）
上传目录必须禁用脚本执行权限
即使所有校验都通过，如果上传目录被 Apache/Nginx 配置成可执行 PHP，那一切防护形同虚设。
务必确保：
- 上传目录不在 Web 根目录下，或至少配置为不可执行（Nginx：删除
fastcgi_pass；Apache：用Options -ExecCGI+SetHandler default-handler） - 目录权限设为
0755，不给写+执行组合（如0777） - PHP 配置中禁用危险函数（
disable_functions = system,exec,passthru,shell_exec）
