Web应用安全：文件上传中的内容类型检测与防御策略

<?php

/**
 * 验证上传文件的真实MIME类型是否在允许列表中。
 *
 * @param string $filePath 上传文件的临时路径（通常是 $_FILES['name']['tmp_name']）
 * @param array $allowedMimeTypes 允许的MIME类型列表，例如 ['image/jpeg', 'image/png', 'audio/mpeg']
 * @return bool 如果文件类型合法且在允许列表中，则返回 true；否则返回 false。
 */
function isValidUploadedFile(string $filePath, array $allowedMimeTypes): bool
{
    // 检查文件是否存在
    if (!file_exists($filePath)) {
        error_log("文件不存在: " . $filePath);
        return false;
    }

    // 检查文件是否为空
    if (filesize($filePath) === 0) {
        error_log("文件为空: " . $filePath);
        return false;
    }

    // 初始化 fileinfo 资源
    // FILEINFO_MIME_TYPE 返回文件的MIME类型，例如 "image/jpeg"
    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    if (!$finfo) {
        error_log("无法打开 fileinfo 资源。请检查 PHP 配置。");
        return false; // 错误处理：finfo_open 失败
    }

    // 获取文件的MIME类型
    $mimeType = finfo_file($finfo, $filePath);

    // 关闭 fileinfo 资源
    finfo_close($finfo);

    if ($mimeType === false) {
        error_log("无法获取文件MIME类型: " . $filePath);
        return false; // 错误处理：finfo_file 失败
    }

    // 将获取到的MIME类型与允许列表进行比对
    if (!in_array($mimeType, $allowedMimeTypes)) {
        error_log("检测到不允许的文件MIME类型: " . $mimeType . " (文件: " . $filePath . ")");
        return false;
    }

    return true; // 文件类型验证通过
}

// --- 示例用法 ---

// 假设这是通过表单上传的文件信息
// 实际应用中应检查 $_FILES['uploadFile']['error'] 是否为 UPLOAD_ERR_OK
if (isset($_FILES['uploadFile']) && $_FILES['uploadFile']['error'] === UPLOAD_ERR_OK) {
    $uploadedFileTmpPath = $_FILES['uploadFile']['tmp_name'];

    // 定义允许的MIME类型列表
    $allowedImageMimeTypes = [
        'image/jpeg',
        'image/png',
        'image/gif',
        'image/webp', // 现代图像格式
    ];
    $allowedAudioMimeTypes = [
        'audio/mpeg', // MP3
        'audio/wav',
        'audio/ogg',
    ];

    // 根据上传文件的预期用途合并允许的MIME类型
    $allowedMimeTypes = array_merge($allowedImageMimeTypes, $allowedAudioMimeTypes);

    if (isValidUploadedFile($uploadedFileTmpPath, $allowedMimeTypes)) {
        echo "文件类型验证通过，MIME类型为: " . finfo_file(finfo_open(FILEINFO_MIME_TYPE), $uploadedFileTmpPath) . "<br>";

        // 生成一个唯一的文件名以避免冲突和路径遍历攻击
        $extension = pathinfo($_FILES['uploadFile']['name'], PATHINFO_EXTENSION);
        $newFileName = uniqid('upload_', true) . '.' . $extension;
        $destinationPath = '/path/to/your/upload/directory/' . $newFileName; // 确保此目录在Web根目录之外

        // 移动上传的文件到目标位置
        if (move_uploaded_file($uploadedFileTmpPath, $destinationPath)) {
            echo "文件上传成功并保存到: " . $destinationPath . "<br>";
            // 可以在此处记录文件信息到数据库
        } else {
            echo "文件移动失败。<br>";
            // 移除临时文件以防万一
            unlink($uploadedFileTmpPath);
        }
    } else {
        echo "无效的文件类型或文件。<br>";
        // 验证失败，确保删除临时文件
        unlink($uploadedFileTmpPath);
    }
} else {
    // 处理文件上传错误，例如文件过大、部分上传等
    if (isset($_FILES['uploadFile']['error'])) {
        $uploadErrors = [
            UPLOAD_ERR_INI_SIZE   => '上传文件大小超过php.ini中upload_max_filesize选项限制。',
            UPLOAD_ERR_FORM_SIZE  => '上传文件大小超过HTML表单中MAX_FILE_SIZE选项限制。',
            UPLOAD_ERR_PARTIAL    => '文件只有部分被上传。',
            UPLOAD_ERR_NO_FILE    => '没有文件被上传。',
            UPLOAD_ERR_NO_TMP_DIR => '找不到临时文件夹。',
            UPLOAD_ERR_CANT_WRITE => '文件写入失败。',
            UPLOAD_ERR_EXTENSION  => 'PHP扩展阻止了文件上传。',
        ];
        $errorCode = $_FILES['uploadFile']['error'];
        echo "文件上传失败: " . ($uploadErrors[$errorCode] ?? '未知错误') . "<br>";
    } else {
        echo "未检测到文件上传。<br>";
    }
}

?>