php 文件上传禁止上传 php,vps 邮件服务器,云有vps吗,香港VPS主机稳定性,免费vps美国

🗣 Wd提问: php 文件上传禁止上传 php

🤖 Ai回答:
在 PHP 中，为了防止用户上传恶意的 `.php` 文件（例如 Web Shell），你需要在文件上传时进行严格的检查和限制。以下是几种有效的措施来禁止上传 PHP 文件：

✅ 1、检查文件扩展名

php
$allowed_extensions = ['jpg', 'jpeg', 'png', 'gif', 'pdf', 'txt']; // 允许的文件类型
$file_extension = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));

if (!in_array($file_extension, $allowed_extensions)) {
die('不允许的文件类型！');
}

⚠️ 注意：不能仅依赖 `$_FILES['name']` 的扩展名，因为可以被伪造。

✅ 2、使用 `mime_type` 检查（更安全）

php
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime_type = finfo_file($finfo, $_FILES['file']['tmp_name']);
finfo_close($finfo);

$allowed_mime_types = [
'image/jpeg',
'image/png',
'image/gif',
'application/pdf',
'text/plain'
];

if (!in_array($mime_type, $allowed_mime_types)) {
die('文件类型不合法！');
}

✅ 3、检查文件内容（防止伪装成图片的 PHP 脚本）

php
$content = file_get_contents($_FILES['file']['tmp_name']);

// 如果是 PHP 文件，会包含 <?php 或 <script 等标签
if (preg_match('/<\?php|\bphp\b|<script/', $content)) {
die('文件包含非法代码！');
}

🛠️ 这种方式可以识别出伪装成图片但实际是 PHP 的文件（如 `<?php system($_GET['cmd']); ?` 写入到图片中）。

✅ 4、重命名上传文件，避免执行

php
$original_name = $_FILES['file']['name'];
$filename = uniqid() 、'_' 、basename($original_name);
$upload_dir = 'uploads/';
$destination = $upload_dir 、$filename;

move_uploaded_file($_FILES['file']['tmp_name'], $destination);

❌ 不要使用原文件名，尤其是带有 `.php` 后缀的。

✅ 5、设置目录权限，禁用脚本执行

确保上传目录没有执行权限（Apache/Nginx 配置）：

apache
.htaccess
<FilesMatch \.(php|phtml|php3|php4)$
Order Allow,Deny
Deny from all
</FilesMatch

或在 Nginx 中：

nginx
location ~* \.(php|phtml)$ {
deny all;
}

✅ 6、完整示例代码

php
<?php
if ($_SERVER['REQUEST_METHOD'] == 'POST') {
$allowed_extensions = ['jpg', 'jpeg', 'png', 'gif', 'pdf', 'txt'];
$allowed_mime_types = [
'image/jpeg',
'image/png',
'image/gif',
'application/pdf',
'text/plain'
];

$file = $_FILES['file'];

// 检查是否上传成功
if ($file['error'] !== UPLOAD_ERR_OK) {
die('上传失败！');
}

// 检查扩展名
$extension = strtolower(pathinfo($file['name'], PATHINFO_EXTENSION));
if (!in_array($extension, $allowed_extensions)) {
die('不允许的文件类型！');
}

// 检查 MIME 类型
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime_type = finfo_file($finfo, $file['tmp_name']);
finfo_close($finfo);

if (!in_array($mime_type, $allowed_mime_types)) {
die('文件类型不合法！');
}

// 检查文件内容（防止恶意代码）
$content = file_get_contents($file['tmp_name']);
if (preg_match('/<\?php|\bphp\b|<script/', $content)) {
die('文件包含非法代码！');
}

// 生成安全文件名
$safe_filename = uniqid() 、'_' 、basename($file['name']);
$upload_dir = 'uploads/';
if (!is_dir($upload_dir)) mkdir($upload_dir, 0755, true);

$destination = $upload_dir 、$safe_filename;

if (move_uploaded_file($file['tmp_name'], $destination)) {
echo 上传成功！;
} else {
echo 移动文件失败！;
}
}
?

🔐 总结：如何彻底禁止上传 PHP 文件？

| 措施 | 是否必要 |

| 检查文件扩展名 | ✅ 基础防护 |
| 检查 MIME 类型 | ✅ 更安全 |
| 检查文件内容 | ✅ 防止伪装 |
| 重命名文件 | ✅ 防止执行 |
| 服务器配置禁止执行 PHP | ✅ 必须 |

💡 最佳实践建议：

不要信任用户上传的文件名
不要将上传文件放在可执行目录
定期扫描上传目录
使用白名单机制而非黑名单

如有需要，也可以使用第三方库如 [Intervention Image](https://image.intervention.io/) 来验证图片真实性。

如果你使用的是 Laravel、Symfony 等框架，它们也提供了更完善的上传验证机制。

Ai作答

📣 商家广告：