PHP文件上传安全：优化代码有效防范漏洞

目录

• 原生漏洞PHP示例代码：
• 原生漏洞PHP漏洞优化意见（获取临时文件的真实类型）：
• 对Laravel框架，也有同样的问题，别用错函数：
• 对Laravel任意文件上传漏洞优化意见（获取临时文件的真实类型）：
• 整体修复意见：
• 扩展：
• mime_content_type函数与(new \finfo(\FILEINFO_MIME_TYPE))->file('file_path')的区别？
• (new \finfo(\FILEINFO_MIME_TYPE))->file('file_path')与finfo_file()的区别？
• 什么是文件的魔术数字？

$file = $_FILES['file'] ?? [];
//检测文件类型
$allow_mime = ['image/jpg', 'image/jpeg', 'image/png', 'image/gif'];
if(! in_array($file['type'], $allow_mime)) {
    echo json_encode(['code' => 1, 'msg' => "文件类型错误"], JSON_UNESCAPED_UNICODE);
    return;
}

print_r($file);

$file = $_FILES['file'] ?? [];
//检测文件类型
$allow_mime = ['image/jpg', 'image/jpeg', 'image/png', 'image/gif'];
if(! in_array((new \finfo(\FILEINFO_MIME_TYPE))->file($file['tmp_name']), $allow_mime)) {
    echo json_encode(['code' => 1, 'msg' => "文件类型错误"], JSON_UNESCAPED_UNICODE);
    return;
}

print_r($file);

$file->getClientMimeType(); //相当于$_FILES['file']['type'];
$file->getMimeType(); //相当于(new \finfo(\FILEINFO_MIME_TYPE))->file($_FILES['file']['tmp_name'])

底层对getClientMimeType()的实现：
是在vendor/symfony/http-foundation/Request.php的createFromGlobals()中，基于$_FILES做的封装。
底层对getMimeType()的实现：
是在vendor/symfony/mime/FileinfoMimeTypeGuesser.php的guessMimeType()中，利用finfo的内置PHP类实现的。

$mime = finfo_file(finfo_open(FILEINFO_MIME_TYPE), $file['tmp_name']);
$mime = (new \finfo(FILEINFO_MIME_TYPE))->file($file['tmp_name']);

$fileHandle = fopen($_FILES['file']['tmp_name'], 'rb');
$hex = '';
while (! feof($fileHandle)) {
    $byte = fread($fileHandle, 1);
    $hex .= sprintf("%02X ", ord($byte));
}
fclose($fileHandle);
echo $hex;