PHP finfo_file 怎样识别上传文件类型

上传文件时，扩展名和浏览器提交的 MIME 字段都只能当作线索。PHP 的 finfo_file() 可以读取上传临时文件的内容特征，返回服务端识别出的文字描述；配合 FILEINFO_MIME_TYPE，就能拿到适合进入允许列表判断的 MIME 类型。

官方地址：https://www.php.net/manual/en/function.finfo-file.php

最小可靠边界是：先确认上传成功，再把 $_FILES['tmp_name'] 交给 finfo_file()，只使用服务端返回值与允许列表比较。不要把 $_FILES['type'] 当成最终结论。

finfo_file 先看清输入和返回值

finfo_file() 有过程式和面向对象两种写法。过程式调用需要一个由 finfo_open() 创建的 finfo 实例；第二个参数是要检查的文件名，第三个参数用 flags 选择返回粒度，第四个参数是可选的流上下文。

先创建识别实例，再读取上传临时文件

上传处理的关键不是直接相信客户端字段，而是沿着服务端保存的临时文件路径读取内容。下面的示例只把识别结果用于类型判断，不包含保存用户文件的完整业务策略。

这里的 FILEINFO_MIME_TYPE 只要求返回 MIME 类型，不带编码等额外描述。若需要更长的文字描述，可以使用其他 Fileinfo flags，但允许列表通常更适合比较稳定的类型字符串。

把服务端结果交给允许类型白名单

识别出类型只是中间结果，不等于“文件一定安全”，也不等于“可以直接按原文件名保存”。业务层还需要明确允许的类型、大小、扩展名策略和保存位置。对图片、压缩包等复杂格式，必要时还要进入对应的解析或重编码流程。

 'jpg',
    'image/png' => 'png',
    'application/pdf' => 'pdf',
];

// 识别结果来自服务端文件内容，客户端声明只用于辅助日志或展示。
$clientType = (string)($_FILES['upload']['type'] ?? '');
$serverType = finfo_file($finfo, $tmpName);

if ($serverType === false || !array_key_exists($serverType, $allowedTypes)) {
    throw new RuntimeException('文件类型不在允许列表中');
}

// 使用随机文件名和白名单后缀，避免沿用用户提交的原始名称。
$extension = $allowedTypes[$serverType];
$safeName = bin2hex(random_bytes(16)) . '.' . $extension;
// 保存动作应放在受控目录，并结合项目的权限、大小和访问策略执行。
echo $safeName;

示例里保留了 $clientType，只是为了说明它与服务端结果是两条不同的信息。实际逻辑不应因为两者相同就跳过服务端识别，也不应因为两者不同就自动断言文件恶意；最终动作由允许列表和业务规则决定。

为什么识别结果可能是 false

官方手册把返回值定义为文件内容的文字描述，出错时返回 false。因此调用方不要直接把返回值拼进文件名或响应头，而应先做严格失败判断。常见原因包括临时文件不存在、Fileinfo 扩展不可用、底层 magic 数据库无法打开，或传入路径本身不再可读。

另外，当前 PHP 手册记录了一个版本边界：PHP 8.5.0 起，filename 含空字节时抛出 ValueError；更早版本对应的是 TypeError。上传临时路径通常来自 PHP 运行时，但如果路径经过拼接或二次传递，仍要避免把未经处理的外部字符串直接交给文件识别函数。

上线前把三个边界分开

第一，客户端声明是请求数据，不能替代服务端读取；第二，finfo_file() 给出的是内容识别线索，不能单独承担所有恶意文件防护；第三，识别结果进入白名单后，保存文件仍要使用随机名称、受控目录和合理权限。把这三个边界分开，后续增加图片重编码、病毒扫描或异步处理时，代码会更容易扩展。

常见问题

能不能直接使用 $_FILES['type']？

它是客户端随请求提交的声明，适合做日志参考，不应作为服务端允许类型的唯一依据。上传临时文件的内容识别应由服务器完成。

FILEINFO_MIME_TYPE 和 FILEINFO_MIME 有什么区别？

FILEINFO_MIME_TYPE 侧重返回 MIME 类型；FILEINFO_MIME 还会带上 MIME 编码信息。若白名单按类型字符串比较，前者更直接。

识别出 image/jpeg 就一定可以安全保存吗？

不一定。它只说明 Fileinfo 根据文件内容给出了该类型判断，不能替代大小限制、存储隔离、图片解析或重编码等针对性措施。

总结来说，PHP 使用 finfo_file() 识别上传文件时，应把上传临时路径作为输入，把 FILEINFO_MIME_TYPE 的结果作为服务端判断依据，再交给明确的允许列表。客户端 MIME、扩展名和识别结果各自处在不同边界，只有分开处理，上传流程才不会因为一个可伪造字段而失去判断基础。