上传只看后缀没用，php改jpg就能传木马挂暗链，加MIME校验就挡住

新手做上传功能，只看文件后缀名是jpg就让传，用户传个木马php文件，把后缀改成jpg，直接上传成功，被挂暗链，其实校验MIME类型，就能挡住这种恶意上传。第一，别只判断文件后缀，要校验文件的真实MIME类型，用户传的是PHP文件，改后缀也能识别出来；第二，上传目录关掉PHP执行权限，就算真传了木马，访问也不解析；第三，上传的图片重命名，别用用户传的文件名，防止带特殊字符；第四，上传大小做限制，别让用户传几个G的文件。

我之前做图片上传，只看后缀是jpg，用户传了个木马php改jpg，上传成功，被挂了赌博暗链，花了俩小时清，之后加了MIME校验，上传目录关PHP执行，再也没被传过木马。很多新手做上传功能，只看后缀名，随便改个后缀就能传木马，校验真实类型，才安全。