当我尝试处理文件上传时，我应该根据文件 MIME 类型还是文件扩展名运行验证？
这两种文件验证方式的优缺点是什么？
还有，我还应该关注其他安全问题吗？
在这些日子里，我依赖 MIME 类型，但在这篇文章中获得最多投票的答案
永远不要依赖浏览器提交的 MIME 类型！
【问题讨论】：
标签： php file-upload
Mime-type 不是可靠的来源，因为它是从浏览器发送的（任何人都可以手动创建 HTTP 请求）。 PHP 不检查扩展名和矿山类型的等价性（http://ru.php.net/manual/en/features.file-upload.post-method.php）。您可以使用文件名“image.php”和 mime 类型“image/gif”来强调 HTTP 请求。
如果您想将上传的文件保存到 HDD 并在以后提供对该文件的公开访问权限，请始终使用扩展验证。
【讨论】：
为了准确确定已上传的内容，您无需检查文件扩展名或 浏览器 发送的 mime 类型。
在 *nix 环境中，您拥有检查给定文件的 mime 类型的实用程序，通常位于 magic.mime 文件（/usr/share/magic.mime 或类似文件，取决于您的设置）。
从 magic.mime 中复制/粘贴，以便您简要了解它的工作原理：
# Magic data for KMimeMagic (originally for file(1) command)
#
# Note on adding additional MIME types:
#
# [RFC2045,RFC2046] specifies that Content Types, Content Subtypes, Character
# Sets, Access Types, and conversion values for MIME mail will be assigned and
# listed by the IANA.
# http://www.iana.org/assignments/media-types/
#
# Any unregistered file type should be listed with a preceding x-, as in
# application/x-foo (RFC2045 5.1), or a x., as in application/x.foo (RFC4288
# 4.3). Any non x-prefixed type should be registered with IANA and listed at
# the above address. Any other behavior is a MIME standards violation!
#
# It is preferred that when a registered MIME type exists, that
# the registered Content-Type and Subtype be used to refer to a file of
# that type, so don't use application/x-zip when application/zip is
# registered.
#
# If an active RFC suggests that a MIME registration for a new type is in
# progress, make a note of it pointing to that RFC.
#
# The format is 4-5 columns:
# Column #1: byte number to begin checking from, ">" indicates continuation
# Column #2: type of data to match
# Column #3: contents of data to match
# Column #4: MIME type of result
# Column #5: MIME encoding of result (optional)
我将为您提供一个链接，该链接将帮助您在 PHP 中进一步实现（字面意思是 2 行代码，一旦您完成）。
如果您在所有这些之后仍无法使其正常工作，请在 cmets 中发布，我将提供安全检测已上传内容所需的完整代码。
【讨论】：
We are not here to answer your questions. - 这很可悲，但确实如此。没有人愿意停下来思考。
好的，所以对于这里的所有天才，我已经准备了一些教程：
总之，你永远不应该永远依赖 MIME 类型。你的网络服务器不关心 MIME 类型，它决定了 EXTENSION 做什么，最终被否决的 @Col。弹片的回答其实是对的。检查 MIME 提供给您的任何信息在执行时绝对与您的网络服务器无关。
编辑：打开网站以应对此类攻击的不常见代码：
<?php
$mimetype = mime_content_type($_FILES['file']['tmp_name']);
if(in_array($mimetype, array('image/jpeg', 'image/gif', 'image/png'))) {
move_uploaded_file($_FILES['file']['tmp_name'], '/whatever/something/imagedir/' . $_FILES['file']['name']);
echo 'OK';
} else {
echo 'Upload a real image, jerk!';
}
【讨论】：
None 不适合准确找出文件的类型。原因是—— * 扩展 - 用户只需重命名文件即可轻松更改扩展。 * Mime 类型 - 要更改 mime 类型，一些附加组件/扩展可以做到这一点，因为它来自客户端（因此可以在发送到服务器之前更改），而不是由服务器生成。
现在进行验证，问题的答案取决于您为什么要验证文件类型。
大多数时候我们需要确保上传的文件不会被执行。出于这个原因，您需要确定您的服务器如何处理/执行文件。 - 如果您的服务器检查扩展名以进行验证，您还需要验证您没有存储可以执行的扩展名文件。 - 如果您的服务器使用 mime-types，请注意客户端发送的 mime-type 和服务器对同一文件使用的 mime-type 可能不同。因此，请使用与您的服务器相同的逻辑来找出 mime 类型。
【讨论】：