PHP如何检测文件是否为图片类型_PHP检测文件是否为图片类型方法【安全】

在PHP开发中，处理用户上传文件时，一个老生常谈但又至关重要的问题就是：如何准确判断上传的文件到底是不是一张真正的图片。仅仅依赖文件扩展名或者HTTP头里的Content-Type，那基本等于给攻击者留了后门，太不安全了。下面这几种方法，才是业内公认的可靠手段，能帮你从根上把好图片上传的安全关。

一、用getimagesize函数来一次“真身检验”

这个函数是PHP内置的利器，它不会只看文件的后缀名，而是直接去读取文件的头部信息，尝试解析出图像的尺寸和格式。如果文件不是一张有效的图片，它就会返回false。

具体操作起来很简单：直接调用getimagesize()，把文件路径或者临时上传路径传进去就好。然后，检查返回值是不是一个数组，并且这个数组里是不是包含了0和1这两个键——它们分别代表图片的宽度和高度。如果返回的是false或者根本不是数组，那就可以直接判定这不是一张合格的图片文件了。

二、读取文件“魔数”：从二进制层面揪出原形

每种图片格式，在文件的最开头都有几个特定的字节，这就像它们的“身份证号”，也就是所谓的魔数。通过读取文件的前16个字节，跟已知的图片签名进行比对，就能准确判断出它的真实身份，这个方法几乎不可能被简单的文件扩展名伪造所欺骗。

操作上，先用fopen()以二进制模式打开文件，然后用fread()读取前16个字节。接下来，把这串字节跟预定义的图片魔数数组进行匹配。比如，JPEG文件的开头是FF D8 FF，PNG文件是89 50 4E 47，GIF文件则是47 49 46 38。如果匹配不上任何一个已知的图片签名，那这个文件就要坚决拒之门外。

三、fileinfo扩展：基于魔数的专业MIME类型检测

PHP的fileinfo扩展，是官方推荐用来检测文件真实MIME类型的方案。它同样是基于魔数检测，但比你自己手动比对要方便得多，而且比$_FILES['type']这个用户提供的值要可靠得多——那个值可是能被随意篡改的。

使用前，需要确认php.ini里已经启用了extension=fileinfo。然后，调用finfo_open(FILEINFO_MIME_TYPE)获取一个资源句柄，再用finfo_file()传入文件路径，就能拿到文件实际的MIME类型字符串了。最后，判断这个返回值是不是在安全图片类型的白名单里，比如image/jpeg、image/png、image/gif、image/webp这些。用完记得关闭finfo资源。

四、exif_imagetype：轻量级、高精度的专一选手

这个函数可以说是专门为识别图片类型而生的，轻量、专注、高效。它不会加载整个图像数据，只读取必要的信息，所以在性能上表现很好，安全性也高。

用法更直接：调用exif_imagetype()，传入文件路径。然后检查它的返回值是不是我们期望的预定义常量，比如IMAGETYPE_JPEG、IMAGETYPE_PNG、IMAGETYPE_GIF、IMAGETYPE_WEBP、IMAGETYPE_BMP。如果返回了FALSE或者一个你根本不认识的常量，那基本可以断定这不是一张正常的图片。

五、最后一道防线：限制上传目录与执行权限

即使文件被识别为图片，也绝不能掉以轻心。因为恶意代码完全可能被嵌入到图片的元数据甚至像素数据中。所以，配合文件存储策略来增强安全性，是必须做好的最后一步。

一个比较稳妥的做法是：首先，把上传后的图片保存在Web根目录之外，或者一个明确设置为不可执行的目录里。其次，在图片存放目录里放一个空的index.html文件，防止目录列表被遍历。接着，去配置Web服务器——无论是Nginx还是Apache，都要明确禁止该目录下所有.php、.php5、.phtml等脚本文件的执行权限。最后，对上传的文件名进行重命名，不要保留用户原始文件名中可能包含的特殊字符或路径遍历符号，从源头上断绝一切风险。