PHP如何验证文件类型_PHP文件类型安全检测方法

.jpg

.png

$_FILES['file']['type']

shell.php.jpg

<?php
function isValidFileType($filePath, $allowedMimeTypes) {
    // 1. 获取文件扩展名并进行初步白名单检查
    $extension = strtolower(pathinfo($filePath, PATHINFO_EXTENSION));
    $allowedExtensions = array_map(function($mime) {
        // 粗略映射MIME到常见扩展名，实际应用中应更精确
        if (strpos($mime, 'image/jpeg') !== false) return 'jpg';
        if (strpos($mime, 'image/png') !== false) return 'png';
        if (strpos($mime, 'image/gif') !== false) return 'gif';
        // ... 其他类型
        return '';
    }, $allowedMimeTypes);
    $allowedExtensions = array_filter(array_unique($allowedExtensions));

    if (!in_array($extension, $allowedExtensions)) {
        return false; // 扩展名不符，初步拒绝
    }

    // 2. 使用finfo_open进行魔术字节检测
    if (!function_exists('finfo_open')) {
        // 如果finfo扩展未启用，这里需要有更强的错误处理或降级方案
        error_log("finfo extension is not enabled. Cannot perform magic byte detection.");
        return false; // 或者根据业务需求，直接返回true（不推荐）
    }

    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    if (!$finfo) {
        error_log("Failed to open fileinfo database.");
        return false;
    }
    $mimeType = finfo_file($finfo, $filePath);
    finfo_close($finfo);

    // 3. 检查魔术字节检测出的MIME类型是否在允许列表中
    if (!in_array($mimeType, $allowedMimeTypes)) {
        return false; // 魔术字节检测出的MIME类型不符
    }

    return true; // 所有检查通过，文件类型合法
}

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['userfile'])) {
    $uploadDir = 'uploads/';
    if (!is_dir($uploadDir)) {
        mkdir($uploadDir, 0755, true);
    }

    $uploadedFile = $_FILES['userfile'];
    $tempFilePath = $uploadedFile['tmp_name'];
    $originalFileName = $uploadedFile['name'];

    $allowedImageMimes = ['image/jpeg', 'image/png', 'image/gif'];

    if (isValidFileType($tempFilePath, $allowedImageMimes)) {
        // 生成一个唯一的文件名，避免覆盖和路径遍历
        $newFileName = uniqid() . '.' . pathinfo($originalFileName, PATHINFO_EXTENSION);
        $destination = $uploadDir . $newFileName;

        if (move_uploaded_file($tempFilePath, $destination)) {
            echo "文件上传成功！新文件名：" . $newFileName;
        } else {
            echo "文件移动失败。";
        }
    } else {
        echo "文件类型不被允许或检测失败。";
    }
}
?>
<!-- 简单的上传表单 -->
<form action="" method="post" enctype="multipart/form-data">
    <input type="file" name="userfile">
    <input type="submit" value="上传文件">
</form>

$_FILES['file']['type']

evil.php

image.jpg

.jpg

$_FILES['file']['type']

Content-Type

application/octet-stream

text/x-php

image/jpeg

finfo_open

FF D8 FF E0

89 50 4E 47 0D 0A 1A 0A

finfo_open

<?php
function getRealMimeType($filePath) {
    if (!function_exists('finfo_open')) {
        // 错误处理：finfo 扩展未启用
        error_log("PHP finfo extension is not enabled. Cannot perform magic byte detection.");
        return false;
    }

    $finfo = finfo_open(FILEINFO_MIME_TYPE); // 返回MIME类型
    if (!$finfo) {
        error_log("Failed to open fileinfo database.");
        return false;
    }

    $mimeType = finfo_file($finfo, $filePath); // 获取文件MIME类型
    finfo_close($finfo); // 关闭资源

    return $mimeType;
}

// 假设有一个上传的临时文件路径
$tempFile = $_FILES['userfile']['tmp_name'] ?? null;

if ($tempFile && is_uploaded_file($tempFile)) {
    $realMime = getRealMimeType($tempFile);
    echo "文件实际MIME类型是: " . ($realMime ?: "未知");

    $allowedMimes = ['image/jpeg', 'image/png', 'image/gif'];
    if ($realMime && in_array($realMime, $allowedMimes)) {
        echo "<br>文件类型安全且被允许。";
        // 进一步处理文件，例如移动到目标目录
    } else {
        echo "<br>文件类型不被允许或检测失败。";
    }
}
?>

finfo_open

php.ini

upload_max_filesize

post_max_size

$_FILES['file']['size']

/var/www/html

/var/www/html/uploads

.php