PHP 5.2已停止维护，根本修复是升级至8.1+；若无法升级，须通过执行权限限制、MIME校验、安全重命名和禁用危险函数四层加固。
PHP 5.2 是一个已停止维护的老旧版本，本身存在大量已知安全缺陷，最根本的修复方式是升级到受支持的 PHP 版本（如 8.1+）。但在某些遗留系统中无法升级时，需围绕上传逻辑本身做纵深加固——不能依赖单一检查，而要组合路径控制、内容校验、解析隔离与权限约束四层防线。
严格限制上传目录的执行权限
这是最关键的一步。即使恶意文件被上传成功，若服务器不解析执行它，风险就大幅降低。
- 将上传目录（如
uploads/）从 Web 可访问根目录中分离，或通过 Web 服务器配置禁止其执行脚本 - Apache 下，在上传目录中放置
.htaccess文件，内容为：php_flag engine off或RemoveHandler .php .phtml .php3 - Nginx 下，在对应 location 块中添加：
location ~ ^/uploads/.*\.(php|phtml|php3|php4|php5|php7|phps|pl|py|jsp|asp|sh|cgi)$ { deny all; }
服务端白名单 + 文件内容二次校验
仅靠扩展名过滤在 PHP 5.2 环境下极易被绕过（如 .php%00.jpg、.php.、大小写、双后缀等），必须叠加内容识别。
- 使用
finfo_open()（需启用 fileinfo 扩展）检测真实 MIME 类型，拒绝非图像类型（如image/jpeg,image/png） - 对图片类文件，用
getimagesize()验证是否为有效图像；失败则中止上传 - 若允许上传文档，应剥离可执行头（如 PDF 中嵌入的 JavaScript），或转存为只读副本
重命名 + 路径隔离 + 防空字节注入
PHP 5.2 默认开启 magic_quotes_gpc=On 会干扰 %00 绕过，但一旦关闭（如 Pass11 场景），%00 就可能截断路径。必须主动防御。
立即学习“PHP免费学习笔记（深入）”；
- 绝不直接使用
$_FILES['file']['name']拼接保存路径，强制重命名为随机字符串 + 白名单后缀（如md5(uniqid()).'.jpg'） - 保存前调用
basename()并去除所有不可见字符（包括\x00）：$clean_name = trim(str_replace("\x00", '', basename($_FILES['file']['name']))); - 构造目标路径时，用
realpath()+dirname()显式限定父目录，防止../路径遍历
禁用危险配置与函数（PHP 5.2 特有补救）
针对该版本特有的风险点做针对性关闭：
- 确认
php.ini中allow_url_fopen = Off、allow_url_include = Off，防止远程文件包含 - 禁用高危函数（在
disable_functions中加入）：system,exec,passthru,shell_exec,proc_open,popen,eval,assert,call_user_func,call_user_func_array - 若使用 Apache，确保
Options -ExecCGI和SetHandler default-handler在上传目录生效
