PHP文件上传校验

引言

文件上传是网站高频功能，也是最容易出安全问题的地方。只判断后缀名，黑客可以把木马改名为图片绕过，上传到服务器执行。上传必须做多层校验。

必须校验的内容

1. 检查上传错误码，确认文件确实上传成功；
2. 限制文件大小，防止超大文件占满磁盘；
3. 白名单校验扩展名，只允许jpg/png等指定类型；
4. 读取文件真实MIME类型，不能只信前端传的type；
5. 重新生成随机文件名，避免原文件名覆盖或路径穿越；
6. 上传目录禁止执行PHP脚本。

基础校验示例

<?php
$allow = ['jpg','png','gif'];
$ext = strtolower(pathinfo($_FILES['file']['name'],PATHINFO_EXTENSION));
if(!in_array($ext,$allow)){
    exit('类型不允许');
}
if($_FILES['file']['size'] > 2*1024*1024){
    exit('文件过大');
}
//获取真实类型
$info = getimagesize($_FILES['file']['tmp_name']);
if(!$info) exit('不是合法图片');
//随机重命名
$newName = uniqid().'.'.$ext;
move_uploaded_file($_FILES['file']['tmp_name'],'./upload/'.$newName);

服务端加固

• Nginx/Apache配置上传目录禁止解析php；
• 图片上传后重新压缩生成，破坏木马脚本；
• 关闭上传目录的执行权限；
• 定期扫描上传目录文件。

总结

文件上传安全核心：不信任前端、白名单、校验真实类型、随机改名、目录隔离。多层校验才能防止webshell上传，保护服务器安全。