PHP中如何验证SVG文件上传？排除恶意后缀伪装文件

嘿，这个问题我之前也碰到过——SVG是文本格式的矢量图，不像JPG/PNG有固定的二进制签名，随便改个后缀就能蒙混过关。下面几个方法组合起来，基本能确保你拿到的是真实安全的SVG文件：

1. 先检查文件开头的核心标识 #

合法的SVG本质是XML文件，要么以XML声明开头，要么直接从<svg>根标签开始。你可以读取文件前几十个字符快速判断：

$tempFile = $_FILES['uploaded_file']['tmp_name'];
$fileContent = file_get_contents($tempFile);
$trimmedStart = trim(substr($fileContent, 0, 30)); // 取前30个字符并去掉空白

if (!str_starts_with($trimmedStart, '<?xml') && !str_starts_with($trimmedStart, '<svg')) {
    die("请上传真实有效的SVG文件");
}

这个步骤能快速过滤掉大部分改后缀的二进制文件（比如把病毒.exe改成virus.svg）。

2. 用XML解析器做合法性校验 #

既然SVG是XML的子集，直接用PHP的DOM解析器尝试加载文件——如果解析失败，肯定不是合法的SVG：

$dom = new DOMDocument();
libxml_use_internal_errors(true); // 关闭默认的错误输出，避免泄露服务器细节
$dom->load($tempFile);
$parseErrors = libxml_get_errors();
libxml_clear_errors();

// 检查解析是否出错
if (!empty($parseErrors)) {
    die("无效的SVG文件，请重新上传");
}

// 额外确认根节点是<svg>
$rootNode = $dom->documentElement;
if ($rootNode->tagName !== 'svg') {
    die("该文件不是SVG格式");
}

这一步是核心，能过滤掉所有非XML结构的文件，哪怕后缀改对了也没用。

3. 过滤SVG中的恶意内容 #

就算是合法的SVG，也可能藏着恶意代码（比如<script>标签、javascript:伪协议、外部资源引用），必须做内容清洗：

// 移除所有<script>标签
$cleanContent = preg_replace('/<script\b[^>]*>(.*?)<\/script>/is', '', $fileContent);
// 移除带javascript的事件属性（比如onclick、onload）
$cleanContent = preg_replace('/\bon\w+\s*=\s*["\'].*?["\']/i', '', $cleanContent);
// 移除指向外部域名的资源引用
$cleanContent = preg_replace('/xlink:href\s*=\s*["\']https?:\/\/[^"\']+["\']/i', '', $cleanContent);

// 把清洗后的内容保存到安全路径
$safeFileName = uniqid() . '.svg';
file_put_contents('/path/to/secure/storage/' . $safeFileName, $cleanContent);

如果追求更严谨的过滤，建议用DOM遍历节点，逐个检查并删除危险元素和属性，比正则更可靠。

4. 辅助性的后缀和MIME类型检查 #

虽然单独靠这俩不靠谱，但可以作为第一道防线：

$allowedExts = ['svg'];
$allowedMimes = ['image/svg+xml'];

// 检查文件后缀
$fileExt = strtolower(pathinfo($_FILES['uploaded_file']['name'], PATHINFO_EXTENSION));
// 检查MIME类型（用finfo更可靠）
$finfo = new finfo(FILEINFO_MIME_TYPE);
$fileMime = $finfo->file($tempFile);

if (!in_array($fileExt, $allowedExts) || !in_array($fileMime, $allowedMimes)) {
    die("请上传SVG格式的文件");
}

额外的安全建议 #

• 限制文件大小：比如设置最大100KB，防止恶意大文件占用服务器资源；
• 存储时重命名：用随机字符串作为文件名，避免文件名注入或覆盖现有文件；
• 前端展示注意：尽量用<img>标签引用SVG，而不是直接嵌入到HTML中——<img>会自动限制SVG的脚本执行，更安全。

内容的提问来源于stack exchange，提问作者Minh Luân Vũ