如何仅允许特定IP地址访问PHP网站的文件上传功能

鉴于你已在全局/etc/php/8.1/apache2/php.ini中关闭file_uploads = Off，且PHP新版本无法通过ini_set()动态开启该配置，以下是几种实现仅特定IP使用上传功能的方案：

方案一：Apache配置层面限制IP+局部开启PHP上传 #

直接通过Web服务器层面锁定允许访问上传页面的IP，并在该范围内单独开启文件上传权限，无需修改业务代码：

1. 编辑虚拟主机配置文件（如/etc/apache2/sites-available/your-site.conf），针对上传页面所在目录添加规则：

<Directory /var/www/html/upload-pages>
    # 指定允许的IP，多个IP用空格分隔
    Require ip 192.168.1.100 10.0.0.5
    # 局部开启文件上传配置
    php_admin_value file_uploads On
</Directory>

2. 若使用.htaccess（需确保Apache开启AllowOverride Options权限），在上传目录的.htaccess中添加：

Require ip 192.168.1.100 10.0.0.5
php_admin_value file_uploads On

3. 重启Apache生效：sudo systemctl restart apache2

方案二：PHP代码层面验证IP+手动处理上传 #

全局关闭file_uploads后，默认不会接收上传文件，但可针对特定IP的请求，手动读取原始上传数据并处理：

1. 先验证客户端IP是否在允许列表：

$allowed_ips = ['192.168.1.100', '10.0.0.5'];
$client_ip = $_SERVER['REMOTE_ADDR'];

2. 验证通过后手动解析上传内容：

if (in_array($client_ip, $allowed_ips)) {
    // 读取原始上传数据
    $raw_upload = file_get_contents('php://input');
    // 自行解析multipart/form-data格式的内容，提取文件
    // 必须严格验证文件类型、大小，避免恶意文件上传
    // 示例：仅允许jpg/png/pdf，限制文件大小不超2M
} else {
    die("无上传权限");
}

⚠️ 注意：此方式需严格做文件校验，且上传文件不要放在Web可访问目录，避免被执行。

方案三：Linux防火墙限制上传接口访问 #

利用iptables或ufw，仅允许特定IP访问上传页面的路径（仅适用于HTTP场景，HTTPS因内容加密无法匹配路径）：

# iptables示例：仅允许192.168.1.100访问/upload路径
iptables -A INPUT -p tcp --dport 80 -s 192.168.1.100 -m string --string "POST /upload/" --algo bm -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -m string --string "POST /upload/" --algo bm -j DROP

额外安全加固建议 #

• 给所有上传表单添加CSRF验证，防止跨站伪造上传请求；
• 上传文件时严格校验：限制大小、仅允许指定后缀（如.jpg/.pdf）、扫描文件内容是否含恶意代码；
• 上传文件存储目录设置为非Web可访问，或配置Apache禁止执行该目录下的脚本；
• 定期扫描服务器，清理.php/.sh等异常可执行文件。

内容的提问来源于stack exchange，提问作者learningtech