上传功能没校验文件后缀，用户传PHP木马，直接进后台把网站改成赌博站

之前做上传功能，只校验了文件大小，根本没看后缀，结果有人传了个PHP木马，伪装成图片，直接传到服务器，我后台访问这个木马，直接拿到了服务器权限，把首页改成了赌博广告，我赶紧把所有木马文件删了，给上传功能加了后缀白名单，只允许传图片、文档，才堵住漏洞。 很多新手做上传功能，只校验文件大小，不校验后缀，结果用户传个PHP木马伪装成图片，直接传到服务器，你一访问就拿到服务器权限，网站直接被人控制。真的，上传功能一定要加后缀白名单，只允许传常见的图片、文档格式，别让用户传PHP、脚本文件。