一、严格的文件类型校验（多层防护）

1. 客户端与服务器端双重校验

• 客户端（前端）：用 JavaScript 限制文件类型和大小，但不可依赖此层防护（用户可禁用 JS 或绕过前端校验）。

• 服务器端（核心）：

• 白名单策略：仅允许明确需要的文件类型（如图片jpg/png/gif、文档pdf/docx），禁止php/asp/jsp/python等脚本文件上传。

• 后缀名校验：严格匹配文件后缀（避免大小写混淆，如.PhP），但需结合其他方式（攻击者可能修改后缀）。

• MIME 类型校验：通过Content-Type头部或服务器函数（如 PHP 的finfo_file()）检查文件实际类型，防止伪造后缀（如.jpg实为.php）。

• 文件内容检测：通过 “魔数”（Magic Numbers）检查文件二进制头，例如图片文件开头的FF D8（JPG）、89 50 4E 47（PNG），..文件类型与后缀一致。

2. 禁用黑名单策略（高风险）

• 黑名单仅禁止已知危险类型，但攻击者可能用冷门后缀（如.phps .phtml）或自定义后缀绕过，因此必须用白名单。

二、上传路径与权限控制

1. 限制上传目录权限

• 路径固定且非 Web 根目录：将上传目录设置在 Web 根目录外（如/var/www/uploads/，而非/var/www/html/uploads/），避免直接通过 URL 访问脚本文件。

• 权限..小化：上传目录仅赋予读写权限（如 Linux 下chmod 755），禁止执行权限（防止脚本被执行），且 Web 服务器用户（如www-data）仅拥有该目录的操作权限。

2. 防止路径遍历与文件名篡改

• 自动重命名文件：用 UUID、时间戳 + 随机数生成..文件名（如20250523_123456789.jpg），避免使用用户提供的文件名，防止目录遍历（如../shell.php）或覆盖系统文件。

• 路径拼接安全：代码中使用安全的路径拼接函数（如 PHP 的realpath()+DIRECTORY_SEPARATOR），避免手动拼接导致的路径错误。

三、Web 服务器解析漏洞防护

1. Nginx 配置优化

• 禁止解析上传目录的脚本文件，在nginx.conf中添加：

  nginx