php7 中处理文件上传需注意安全与性能，核心是验证、存储和权限控制。1. 文件类型验证应使用 finfo_file() 获取真实 mime 类型并结合白名单过滤，同时禁止可执行后缀；2. 限制文件大小通过 php.ini 配置项及代码双重控制以防止资源耗尽；3. 存储路径应选非公开目录并通过脚本控制访问，权限设置需合理；4. 文件名须重命名以避免冲突与注入风险，推荐使用唯一标识符。
PHP7 中处理文件上传看似简单，但要兼顾安全和性能，其实有不少需要注意的地方。尤其是 Web 应用中，文件上传常常是攻击的入口之一。所以，在实现功能的同时，必须从验证、存储、权限控制等多个角度入手。
1. 文件类型与后缀验证：防止恶意上传
很多人以为检查 $_FILES['file']['type'] 就可以判断文件类型，但实际上这个值是由客户端浏览器提供的，并不可靠。真正有效的方式是通过 MIME 类型检测或文件头信息来判断真实类型。
建议使用 PHP 的 finfo_file() 函数结合 FILEINFO_MIME_TYPE 模式来获取真实的 MIME 类型：
立即学习“PHP免费学习笔记（深入）”；
$finfo = finfo_open(FILEINFO_MIME_TYPE); $mime_type = finfo_file($finfo, $_FILES['file']['tmp_name']);
再配合白名单机制进行过滤，比如只允许常见的图片格式：
$allowed_types = ['image/jpeg', 'image/png', 'image/gif'];
if (!in_array($mime_type, $allowed_types)) {
// 非法类型，拒绝上传
}同时也要注意文件扩展名是否可执行，比如 .php、.phtml 等后缀应明确禁止。
2. 文件大小限制：避免资源耗尽
上传大文件不仅会影响服务器响应速度，还可能造成资源耗尽甚至被利用为 DoS 攻击手段。PHP 提供了几个配置项用于限制上传行为：
-
upload_max_filesize：单个文件最大大小（默认 2M） -
post_max_size：POST 数据总大小（应略大于 upload_max_filesize） -
memory_limit：脚本运行内存上限 -
max_execution_time和max_input_time：控制上传过程中的超时时间
这些设置应在 php.ini 或虚拟主机配置中合理调整，而不是在代码中硬编码限制。例如，如果你的应用只需要上传图片，把最大尺寸设为 5MB 已经足够。
此外，在代码中也应做二次检查：
if ($_FILES['file']['size'] > 5 * 1024 * 1024) {
// 超出限制，提示用户
}这样即使配置出错，也能提供一层保险。
3. 安全存储路径与权限设置：防范越权访问
上传后的文件不应直接放在 Web 根目录下，否则容易被访问到。更推荐的做法是将文件保存在非公开目录中，通过脚本控制访问权限。
例如，将文件保存在 /var/www/uploads/，而不在 public_html/uploads/ 下。然后通过一个中间 PHP 脚本读取并输出内容：
// download.php?file=xxx
$file = '/var/www/uploads/' . basename($_GET['file']);
if (file_exists($file)) {
header('Content-Type: ' . mime_content_type($file));
readfile($file);
exit;
}这样即使有人猜到了文件名，也无法绕过你的访问控制逻辑。
另外，上传目录的权限应设置为 755 或更低，确保只有服务器进程可以写入，防止其他用户篡改。
4. 文件名重命名：避免冲突与注入风险
用户上传的文件名可能是中文、空格、特殊字符，甚至是带有路径的构造字符串。如果不加处理，可能会导致文件覆盖、路径穿越等问题。
建议的做法是统一重命名文件，使用唯一标识符，比如 uniqid() 或 md5_file()：
$ext = pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION);
$new_name = uniqid('upload_') . '.' . $ext;
move_uploaded_file($_FILES['file']['tmp_name'], '/var/www/uploads/' . $new_name);这样做不仅能避免文件名冲突，还能减少因用户输入带来的潜在风险。
基本上就这些。虽然每一步都不复杂，但如果漏掉一两个环节，就可能导致严重的安全隐患或者性能问题。尤其在生产环境中，这些细节不能忽视。
