上传功能没限制文件类型，用户传个PHP木马，我服务器直接被人控制

之前做用户上传头像功能，只校验了文件后缀，没做内容校验，结果有人上传了个PHP木马文件，改后缀成jpg传上来，我服务器直接被这个木马控制，别人能登进我后台，挂了一堆黑链，折腾了半天才把木马清掉，把整个网站重新部署。 后来我给上传功能加了内容校验，不仅看后缀，还检查文件内容，禁止上传任何脚本文件，上传目录也关了执行权限，之后再也没出现过这种事。很多新手做上传功能，只校验后缀，不做内容校验，被人传个木马文件直接控制服务器，特别危险。真的，上传功能一定要严格限制文件类型，上传目录关执行权限，不然被人传个木马，服务器直接被人拿走。