ThinkPHP本身无内置文件上传漏洞，所谓漏洞实为开发者业务层上传逻辑校验缺陷；修复须强制重命名并白名单后缀、finfo校验真实MIME、图片重绘剥离代码、上传目录禁执行、关闭调试模式及清理临时文件。
ThinkPHP本身没有内置的文件上传漏洞，所谓“上传漏洞”几乎全是开发者在业务层写的上传逻辑存在校验缺陷。修复关键不在升级框架（尤其像5.0.24、5.1.41这类已停止维护的版本），而在于堵死三个环节：输入不可信、内容不验证、环境不隔离。
强制重命名 + 白名单后缀
绝不能用$_FILES['file']['name']或input('file.ext')提取后缀——大小写（.PHP）、多点（a.php.）、NTFS流（shell.php::$DATA）都能绕过。
- 生成唯一文件名：用
md5(uniqid() . mt_rand())或sha1(serialize($_FILES) . time()) - 后缀必须硬编码：如
'.jpg'，而非从原名中截取 - 保存前统一转小写，并过滤空格、
%00、../等路径污染字符
finfo真实校验MIME类型
$_FILES['type']和扩展名完全可伪造，必须读文件头确认真实类型。
- 用
finfo_open(FILEINFO_MIME_TYPE)+finfo_file()获取MIME - 只允许白名单：
image/jpeg、image/png、image/gif - 拒绝
text/plain、application/php、application/x-php等高危类型
图片类文件必须重绘
getimagesize()和exif_imagetype()只读头部，无法识别图片末尾嵌入的PHP代码（即“图片马”）。
立即学习“PHP免费学习笔记（深入）”；
- 用
imagecreatefromjpeg()/imagecreatefrompng()加载原图 - 再用
imagejpeg()/imagepng()重新输出，丢弃所有元数据和尾部数据 - 保存的是新生成的二进制流，不是原始
tmp_name文件
上传目录禁执行 + 环境加固
即使文件名和内容都安全，服务器配置不当仍可能触发执行。
- Apache：在上传目录放
.htaccess，内容为<files> SetHandler default-handler </files> - Nginx：对应
location加deny all;，或设fastcgi_param SCRIPT_FILENAME ""; - PHP配置：关闭
allow_url_include，上传目录不参与open_basedir，禁用exec、system等危险函数 - 权限：目录755，文件644，严禁
chmod 777
关闭调试 + 清理临时痕迹
调试模式开启时，ThinkPHP会把上传失败的临时路径、错误堆栈、原始POST数据大量写入Runtime/Logs/，攻击者可据此定位恶意文件。
- 生产环境入口文件顶部强制定义：
define('APP_DEBUG', false); - 禁止Web直接访问
Runtime/目录，用.htaccess或Nginx规则拦截 - 上传失败后，显式调用
unlink($_FILES['file']['tmp_name'])清理临时文件
