PHP文件上传攻击防护 文件类型白名单和内容扫描是关键

文件上传功能是网站中最容易引入安全漏洞的环节之一，攻击者往往通过伪造文件类型、夹带恶意代码或利用服务器配置缺陷来获取服务器控制权。PHP文件上传攻击防护的核心原则是：在服务器端建立多层验证机制，包括文件类型白名单、内容指纹检测、存储权限隔离和大小限制，任何单一防线都存在被绕过的风险。据OWASP《Web应用安全十大风险》数据显示，文件上传漏洞相关的攻击在自动化扫描工具中检出率超过60%，且一旦成功利用，可直接导致远程代码执行。以下从工程实践角度逐层拆解防护方案。

文件类型白名单验证必须从源头拦截非法扩展名

仅依赖客户端JavaScript验证完全不可靠，因为攻击者可以构造POST请求跳过前端。服务端必须对文件扩展名进行白名单校验，只允许明确允许的类型，例如jpg、png、gif、pdf等。黑名单方式（如禁止php、asp）极易被绕过，攻击者可以上传.php5、.phtml、.shtml等变体，或利用双扩展名如shell.php.jpg。因此白名单是最基本且有效的策略。

$allowedExts = ['jpg', 'png', 'gif', 'pdf'];
$ext = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));
if (!in_array($ext, $allowedExts)) {
    die("不允许的文件类型");
}

上述代码仅验证了扩展名，但攻击者可以上传一个合法的.jpg文件，内部包含PHP代码。因此需要下一步内容检测。

MIME类型与文件头双重验证有效防止类型欺骗

客户端的Content-Type可被篡改，服务端必须使用PHP内置函数获取真实MIME类型。推荐使用finfo_open()读取文件头（magic bytes），而非依赖$_FILES['file']['type']。例如，JPEG文件的头两个字节是0xFF 0xD8，PNG是0x89 0x50等。下表对比了三种验证方式的可靠性：

使用finfo的示例：

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, $_FILES['file']['tmp_name']);
finfo_close($finfo);
$allowedMimes = ['image/jpeg', 'image/png', 'image/gif', 'application/pdf'];
if (!in_array($mime, $allowedMimes)) {
    die("MIME类型不匹配");
}

但注意，单纯依赖MIME类型仍可能被绕过，例如攻击者可以在图片文件末尾附加PHP代码，此时文件头依然显示为图片类型。因此需要进一步内容扫描。

内容扫描必须检测文件内是否包含可执行代码

即使文件头是图片，如果文件内容包含PHP标签（如<?php）或JavaScript代码，就可能被解析执行。一种简单但有效的方法是使用getimagesize()函数检查图片文件是否合法，该函数会读取图片尺寸，如果文件头正确但数据损坏则会返回false。但这种方法仅适用于图片。更通用的做法是扫描文件内容中的危险字符串，例如<?php、eval、system、exec等。注意这种正则匹配存在误报和漏报，但作为辅助层有效。

$content = file_get_contents($_FILES['file']['tmp_name']);
$dangerPatterns = ['/<\?php/i', '/eval\s*\(/i', '/system\s*\(/i', '/exec\s*\(/i'];
foreach ($dangerPatterns as $pattern) {
    if (preg_match($pattern, $content)) {
        die("文件内容包含危险代码");
    }
}

此外，对于图片文件，可以重新采样生成新图片（如使用GD库），这样会剥离所有附加数据，但会损失图片质量。对于非图片文件，建议使用第三方防病毒扫描API或沙箱检测。

文件存储必须隔离执行权限并重命名

上传文件应存储在Web根目录之外，或者存储目录配置为禁止执行脚本。在Apache中可以通过.htaccess放置：

php_flag engine off
RemoveHandler .php .phtml .php5
Satisfy Any

在Nginx中配置location禁止访问上传目录的PHP执行：

location /uploads {
    location ~ \.php$ { deny all; }
}

同时，必须重命名文件，避免用户控制文件名。使用uniqid()或md5(uniqid())生成随机名字，并保留白名单扩展名。示例：

$newName = md5(uniqid()) . '.' . $ext;
$targetPath = '/var/www/uploads/' . $newName;
move_uploaded_file($_FILES['file']['tmp_name'], $targetPath);

注意不要使用用户提供的文件名，否则可能包含路径遍历或其他攻击。

文件大小与并发限制防范资源耗尽攻击

PHP配置文件中的upload_max_filesize和post_max_size控制单个文件大小和POST总大小，但需要注意memory_limit和max_execution_time也要合理设置，防止大文件处理导致内存溢出。此外，在应用层应限制每个用户的上传频率和总大小，防止存储空间被填满。可以使用session或数据库记录用户上传记录，配合验证码防止自动化上传。

if ($_FILES['file']['size'] > 2 * 1024 * 1024) { // 2MB
    die("文件过大");
}

在多次上传场景下，使用时间戳限制：

session_start();
$now = time();
if (isset($_SESSION['last_upload']) && ($now - $_SESSION['last_upload']) < 10) {
    die("上传过于频繁");
}
$_SESSION['last_upload'] = $now;

常见配置错误与防护要点总结

很多开发者会犯以下错误：只检查扩展名不检查内容；上传目录未禁止执行权限；未重命名文件；依赖客户端验证；忽略文件大小限制。下表列出关键防护措施及其优先级：

最后，定期检查上传目录是否有异常文件，并启用日志记录。通过以上多层防护，可以显著降低PHP文件上传攻击的风险，但没有任何系统是绝对安全的，保持更新和监控同样重要。