ThinkPHP如何实现文件上传的MIME类型校验【安全】

必须用 finfo_file() 基于二进制头校验真实 MIME 类型，因 $_FILES[‘type’] 和 validate([‘mime’ => …]) 均可被伪造；需在 move() 前调用 $file->getMime()，并配合魔数校验与多层防护。

仅靠 validate(['ext' => ['jpg', 'png']]) 无法防止 shell.php.jpg 这类文件上传，必须用 finfo_file() 基于二进制头做真实 MIME 校验。

为什么 $_FILES[‘x’][‘type’] 和 validate([‘mime’ => …]) 都不可信

浏览器提交的 $_FILES['file']['type'] 字段可任意伪造，比如把 PHP 文件声明为 image/jpeg；而 ThinkPHP 的 validate(['mime' => 'image/jpeg']) 规则在 6.x 中默认仍依赖该字段（除非你手动触发 getMime()），不是真实探测。真正可靠的是读取临时文件二进制头部——也就是 finfo_file() 的结果。

• finfo_file() 调用系统 libmagic 数据库，比对文件前若干字节（magic bytes），不受扩展名或 HTTP 头干扰
• 必须用 $_FILES['x']['tmp_name'] 或 $file->getRealPath()，不能对已移动的文件路径调用，否则可能因权限/SELinux 失败
• 若返回 application/octet-stream，不等于“非法”，可能是文件太小、损坏，或 magic db 未覆盖——需配合文件头硬校验兜底

ThinkPHP 中正确调用 finfo_file() 的位置和写法

别在 move() 之后校验，要在 validate() 通过后、move() 之前插入真实 MIME 探测逻辑。ThinkPHP 的 $file->getMime() 就是封装好的 finfo_file()，但前提是 fileinfo 扩展已启用。

• 先确认 PHP 启用了 fileinfo：运行 php -m | grep fileinfo，无输出需启用 extension=fileinfo
• 在控制器中这样写：$realType = $file->getMime();，它等价于 finfo_file($finfo, $file->getRealPath())
• 白名单必须用完整字符串精确匹配：in_array($realType, ['image/jpeg', 'image/png'], true)，不要用 strpos($realType, 'image/') === 0
• 若 $realType 为空或 application/octet-stream，建议再读取前 8 字节做魔数校验（如 substr(bin2hex(fread($fp, 8)), 0, 8) === '89504e47' 判 PNG）

如何避免 getMime() 返回空或误判

getMime() 返回空或 application/octet-stream 不一定是代码写错了，更可能是上传链路本身出了问题。

立即学习“PHP免费学习笔记（深入）”；

• Nginx 用户检查 client_max_body_size 是否过小，导致文件被截断，finfo 无法识别
• Apache + mod_security 可能重写了临时文件内容，使 magic bytes 损坏
• Windows 下 tmp_name 路径含中文或空格时，finfo_file() 会静默失败，建议先 move_uploaded_file() 到安全路径再探测
• CLI 环境下 $_FILES 为空，$file->getMime() 必然失败——ThinkPHP 上传类不支持 CLI 模拟
• 某些 Docker 镜像精简掉了 fileinfo，需在构建阶段显式安装并启用

真实 MIME 校验不是“开了 fileinfo 就万事大吉”，它只是五层防线中的一环：前端限制、扩展名白名单、大小控制、二进制头探测、非 Web 目录隔离——漏掉任何一层，都可能被双后缀、空字节或元数据注入绕过。