网络表单文件验证实现检查清单

文件上传功能的实现涉及众多安全考虑，也存在许多容易被忽视的陷阱。本文解释了在生产环境中安全实现文件上传所需的检查清单。

清单概述

1. 文件大小验证

• <input type="checkbox" disabled> 上传限制以字节为单位定义（不混淆 MB 和 MiB）
• <input type="checkbox" disabled> 对于 PHP，已配置 <code>upload_max_filesize</code> 和 <code>post_max_size</code>
• <input type="checkbox" disabled> 对于 Nginx，<code>client_max_body_size</code> 包括 multipart 开销的余量
• <input type="checkbox" disabled> 当 <code>$_FILES['file']['error']</code> 为 UPLOAD_ERR_INI_SIZE / UPLOAD_ERR_FORM_SIZE 时，有错误处理
• <input type="checkbox" disabled> 有最小文件大小检查（排除 0 字节文件）

 $maxBytes) {
        throw new \RuntimeException(sprintf(
            'ファイルサイズ（%s）が上限（%s）を超えています',
            number_format($file['size']),
            number_format($maxBytes)
        ));
    }
}

2. 文件格式验证（MIME 类型）

• <input type="checkbox" disabled> 不信任从客户端发送的 <code>Content-Type</code>（<code>$_FILES['file']['type']</code>）
• <input type="checkbox" disabled> 使用 <code>finfo</code> / <code>mime_content_type()</code> 执行服务器端 MIME 类型验证
• <input type="checkbox" disabled> 定义了允许的 MIME 类型的白名单

file($file['tmp_name']);

if (!in_array($mimeType, $allowed, true)) {
    throw new \RuntimeException('許可されていないファイル形式です: ' . $mimeType);
}

3. 文件扩展名验证

• <input type="checkbox" disabled> 定义了文件扩展名的白名单（白名单，而不是黑名单）
• <input type="checkbox" disabled> 双扩展名（例如 <code>shell.php.jpg</code>）被检测并拒绝
• <input type="checkbox" disabled> 在验证过程中应用大小写规范化（将 <code>.JPG</code> 和 <code>.jpg</code> 视为相同）

 2) {
    throw new \RuntimeException('不正なファイル名です');
}

$ext = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));
if (!in_array($ext, $allowed, true)) {
    throw new \RuntimeException('許可されていない拡張子です: ' . $ext);
}

4. 魔数（文件签名）验证

• <input type="checkbox" disabled> 对关键文件（例如排除可执行文件）验证魔术字节