文件上传功能别裸奔：限后缀、目录禁执行，防木马

新手做文件上传功能，允许用户传任意文件，别人传个PHP木马，网站直接被黑，今天说上传安全的几个要点。

1. 限制后缀

只允许jpg、png、pdf这些安全后缀，直接拒绝php、exe、sh这类可执行文件，别光看文件后缀，再检查文件头，确认真的是图片。

2. 上传目录不给执行权限

上传图片的目录，在Nginx里配置，禁止执行PHP，就算别人传了个PHP木马，服务器也不会执行，安全很多。

3. 文件名随机

上传的文件重命名成随机字符串，别保留用户传的文件名，不然别人传个shell.php，你存下来就能直接访问。

这三点做到，上传功能基本就不会出大问题。