php代码示例怎么判断文件类型_php判断文件类型代码示例【示例】_技术教程

finfo_file 是判断真实 MIME 类型最可靠方式，需基于文件内容头（magic bytes），启用 fileinfo 扩展并指定 FILEINFO_MIME_TYPE，立即验证 $_FILES'file' 后再移动文件。

用 `finfo_file` 判断真实 MIME 类型最可靠

仅靠文件扩展名（如 .jpg）或 $_FILES['file']['type'] 完全不可信，浏览器可伪造，后缀可随意改。真正安全的判断必须基于文件内容头（magic bytes）。PHP 的 finfo_file 是标准方案，依赖系统 libmagic 库。

实操建议：

确保 PHP 编译时启用了 fileinfo 扩展（php -m | grep fileinfo 验证）
不要用 mime_content_type() —— 已被废弃，且行为不一致
创建 finfo 实例时务必指定 FILEINFO_MIME_TYPE，避免返回完整 MIME 字符串（如 image/jpeg; charset=binary）干扰判断

示例代码：

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mimeType = finfo_file($finfo, '/path/to/uploaded.file');
finfo_close($finfo);
// $mimeType 可能是 'image/png'、'application/pdf'、'text/plain' 等

判断是否为图片且限制常见格式

上传头像、缩略图等场景，不仅要验 MIME，还要限定白名单，防止 image/svg+xml 带 XSS 或伪装成图片的恶意脚本。

实操建议：

白名单必须显式列出允许的类型，例如：['image/jpeg', 'image/png', 'image/gif']，不要用 strpos($mimeType, 'image/') !== false
注意 image/jpg 并非标准 MIME，实际多为 image/jpeg；image/pjpeg 是旧 IE 产物，已基本淘汰，无需兼容
对 PNG/JPEG 可追加简单二进制校验（如检查前 8 字节是否符合 PNG signature \x89PNG\r\n\x1a\n），但 finfo 已足够应对绝大多数情况

处理上传临时文件时的路径陷阱

$_FILES['xxx']['tmp_name'] 是临时路径，但 finfo_file() 要求该路径存在且可读。若在 move_uploaded_file() 后再验，风险已发生；若提前验，又可能因并发或清理导致临时文件消失。

实操建议：

务必在接收到上传后**立即**调用 finfo_file()，传入 $_FILES['file']['tmp_name']
验证通过后再 move_uploaded_file()，不要先移再验
确认 is_uploaded_file($_FILES['file']['tmp_name']) 返回 true，防止本地文件路径穿越攻击（如 ../../etc/passwd 伪造）
临时文件权限通常为 0600，finfo_file 不受 SELinux 或 open_basedir 限制，但需确保 web server 用户有读取权限

为什么不用 `getimagesize()` 或 `exif_imagetype()`

这两个函数只适用于图像，且行为有明显缺陷：前者会解析整个图片（大文件时性能差、可能触发 OOM），后者仅支持有限几种格式（如不识别 WebP），且返回整数常量（IMAGETYPE_JPEG），需手动映射为 MIME，易出错。

实操建议：

exif_imagetype() 返回 false 时无法区分是“非图”还是“解析失败”，而 finfo 明确返回 application/octet-stream 或具体类型
WebP、AVIF 等新格式，finfo 支持良好（依赖 libmagic 版本 ≥ 5.39），而 exif_imagetype() 完全不支持
PDF、ZIP、DOCX 等非图像类型，只能靠 finfo 准确识别