PHP 7.4文件上传漏洞源于业务逻辑缺陷而非语言本身，核心是攻击者可控输入与服务端盲目信任的错位；需用finfo_file校验真实类型、重命名文件、禁用上传目录脚本执行、避免直接操作tmp_name，并防范间接风险。
PHP 7.4 中的文件上传漏洞本身不是语言缺陷，而是业务逻辑处理不当导致的。关键不在于 PHP 版本，而在于开发者是否对用户可控的上传行为做了充分校验和隔离。理解触发条件，核心是抓住“攻击者能控制什么”和“服务端信了什么”之间的错位。
上传点未做类型校验或校验可绕过
常见错误是仅依赖前端 JavaScript 检查、$_FILES['file']['type']（该字段由浏览器提供，完全不可信）或简单后缀白名单（如只检查 .jpg），却忽略 MIME 类型伪造、大小写绕过（.pHp）、空字节截断（shell.php%00.jpg，PHP 7.4 已移除 magic_quotes_gpc，但旧逻辑残留仍可能影响部分解析）、双扩展名（shell.php.jpg）等。
建议：
- 服务端用 finfo_file()（基于文件内容识别真实类型）代替 $_FILES['type']；
- 白名单限制扩展名，且统一转小写后严格比对；
- 不要信任任何客户端传入的文件名，重命名文件（如 UUID + 固定安全扩展名）；
- 上传目录禁用脚本执行（如 Apache 配置 php_flag engine off，Nginx 用 location ~ \.php$ { deny all; }）。
上传后文件被 Web 服务器直接解析执行
漏洞真正生效，必须满足“上传的恶意文件能被访问并解释执行”。典型场景：上传目录在 Web 根路径下（如 /uploads/），且该目录未做解析限制；或业务将上传文件移动到可执行路径（如 /themes/、/plugins/）后动态包含（include $_GET['page'].'.php'）。
建议：
- 上传目录置于 Web 根目录之外（如 /var/www/uploads/），通过脚本代理读取；
- 若必须放在 Web 可访问路径，确保该目录无任何脚本解析权限；
- 禁止使用用户输入拼接 include/require、eval、assert 等危险函数。
临时文件处理逻辑存在竞争或残留风险
PHP 将上传文件先存为临时文件（/tmp/phpXXXXXX），再由 move_uploaded_file() 移动。若业务代码中错误地直接操作 $_FILES['file']['tmp_name']（例如用 file_get_contents() 读取后自行保存），或在 move_uploaded_file() 前做了不安全判断（如 is_executable() 检查），可能因竞态条件或符号链接攻击导致非预期行为（虽 PHP 7.4 对 move_uploaded_file() 加强了校验，但自定义处理仍需谨慎）。
立即学习“PHP免费学习笔记（深入）”；
建议：
- 始终使用 move_uploaded_file() 完成上传流程；
- 不要直接读取或操作 tmp_name 路径字符串；
- 上传完成后立即清理临时文件（move_uploaded_file() 会自动清理，无需额外操作）。
业务功能间接放大上传风险
有些看似无关的功能会成为上传漏洞的“跳板”。例如：头像上传后生成缩略图，调用 imagecreatefromxxx() 解析图片——若传入含恶意 PHP 代码的图片（如 GIF89a 头部+PHP payload），某些老旧 GD 库版本可能执行其中代码；又如富文本编辑器允许上传附件并返回可访问 URL，而附件目录恰好可执行 PHP。
建议：
- 图片处理前用 getimagesize() 或 finfo 确认真实格式；
- 富文本或 CMS 类系统，上传资源应强制走独立静态资源域名或 CDN，且禁止执行；
- 所有用户上传内容，在展示前一律进行内容消毒与上下文隔离（如 HTML 输出用 htmlspecialchars()，JS 上下文用 JSON 编码）。
不复杂但容易忽略：漏洞从来不在 upload 这一行代码里，而在它前后那几行没写的校验、没配的权限、没想清楚的路径设计中。
