用户头像上传没做后缀校验，被人传了PHP后门，直接拿到我服务器权限

18年做美食站，用户头像上传功能，我只做了前端的后缀限制，选文件的时候只显示jpg、png，根本没在后端做后缀校验，结果有个用户直接抓包，把上传请求里的文件后缀改成.php，传了个一句话木马后门上来，后门文件在服务器上跑起来，我登服务器看进程，发现有个外地IP直接通过后门在我服务器上执行命令，把我网站的配置文件全读了，差点把数据库删了。 我当时赶紧把那个后门文件删掉，在上传接口里加了后端后缀白名单：只允许jpg、png、gif后缀，传其他后缀直接拒绝，又给上传目录加了禁止执行PHP的Nginx配置，才堵住这个漏洞。之前总觉得前端限制了文件后缀，用户就传不了别的文件，结果抓包直接改后缀，后端不校验，你传个后门上去，服务器直接被人控制。 从那之后我做任何文件上传功能，后端必须做后缀白名单校验，还把上传目录的PHP执行权限关掉，再也不做只靠前端限制的上传功能。很多新手写上传功能跟我当初一样，只在前端限制后缀，后端啥也不校验，被人抓包传个PHP木马，直接拿到服务器权限，整个站和服务器全被人控制。 真的，上传功能一定要在后端做后缀白名单校验，再把上传目录的PHP执行权限关掉，不然你传个后门上去，服务器直接就不是你的了。