php7 中處理文件上傳需注意安全與性能，核心是驗證、存儲和權限控制。1. 文件類型驗證應使用 finfo_file() 獲取真實 mime 類型并結合白名單過濾，同時禁止可執行后綴；2. 限制文件大小通過 php.ini 配置項及代碼雙重控制以防止資源耗盡；3. 存儲路徑應選非公開目錄并通過腳本控制訪問，權限設置需合理；4. 文件名須重命名以避免沖突與注入風險，推薦使用唯一標識符。
php7 中處理文件上傳看似簡單，但要兼顧安全和性能，其實有不少需要注意的地方。尤其是 Web 應用中，文件上傳常常是攻擊的入口之一。所以，在實現功能的同時，必須從驗證、存儲、權限控制等多個角度入手。
1. 文件類型與后綴驗證：防止惡意上傳
很多人以為檢查 $_FILES[‘file’][‘type’] 就可以判斷文件類型，但實際上這個值是由客戶端瀏覽器提供的，并不可靠。真正有效的方式是通過 MIME 類型檢測或文件頭信息來判斷真實類型。
建議使用 PHP 的 finfo_file() 函數結合 FILEINFO_MIME_TYPE 模式來獲取真實的 MIME 類型：
立即學習“PHP免費學習筆記（深入）”；
$finfo = finfo_open(FILEINFO_MIME_TYPE); $mime_type = finfo_file($finfo, $_FILES['file']['tmp_name']);
再配合白名單機制進行過濾，比如只允許常見的圖片格式：
$allowed_types = ['image/jpeg', 'image/png', 'image/gif']; if (!in_array($mime_type, $allowed_types)) { // 非法類型，拒絕上傳 }
同時也要注意文件擴展名是否可執行，比如 .php、.phtml 等后綴應明確禁止。
2. 文件大小限制：避免資源耗盡
上傳大文件不僅會影響服務器響應速度，還可能造成資源耗盡甚至被利用為 DoS 攻擊手段。PHP 提供了幾個配置項用于限制上傳行為：
- upload_max_filesize：單個文件最大大小（默認 2M）
- post_max_size：POST 數據總大小（應略大于 upload_max_filesize）
- memory_limit：腳本運行內存上限
- max_execution_time 和 max_input_time：控制上傳過程中的超時時間
這些設置應在 php.ini 或虛擬主機配置中合理調整，而不是在代碼中硬編碼限制。例如，如果你的應用只需要上傳圖片，把最大尺寸設為 5MB 已經足夠。
此外，在代碼中也應做二次檢查：
if ($_FILES['file']['size'] > 5 * 1024 * 1024) { // 超出限制，提示用戶 }
這樣即使配置出錯，也能提供一層保險。
3. 安全存儲路徑與權限設置：防范越權訪問
上傳后的文件不應直接放在 Web 根目錄下，否則容易被訪問到。更推薦的做法是將文件保存在非公開目錄中，通過腳本控制訪問權限。
例如，將文件保存在 /var/www/uploads/，而不在 public_html/uploads/ 下。然后通過一個中間 PHP 腳本讀取并輸出內容：
// download.php?file=xxx $file = '/var/www/uploads/' . basename($_GET['file']); if (file_exists($file)) { header('Content-Type: ' . mime_content_type($file)); readfile($file); exit; }
這樣即使有人猜到了文件名，也無法繞過你的訪問控制邏輯。
另外，上傳目錄的權限應設置為 755 或更低，確保只有服務器進程可以寫入，防止其他用戶篡改。
4. 文件名重命名：避免沖突與注入風險
用戶上傳的文件名可能是中文、空格、特殊字符，甚至是帶有路徑的構造字符串。如果不加處理，可能會導致文件覆蓋、路徑穿越等問題。
建議的做法是統一重命名文件，使用唯一標識符，比如 uniqid() 或 md5_file()：
$ext = pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION); $new_name = uniqid('upload_') . '.' . $ext; move_uploaded_file($_FILES['file']['tmp_name'], '/var/www/uploads/' . $new_name);
這樣做不僅能避免文件名沖突，還能減少因用戶輸入帶來的潛在風險。
基本上就這些。雖然每一步都不復雜，但如果漏掉一兩個環節，就可能導致嚴重的安全隱患或者性能問題。尤其在生產環境中，這些細節不能忽視。
