文件上传安全咨询：含PHP脚本的非PHP文件能否执行及加固方案

我来逐个拆解你的问题，结合文件上传安全的通用最佳实践给出分析：

1. 上传的PHP脚本会不会被服务器执行？ #

通常来说，Web服务器默认不会把jpg/gif/png/zip这类非PHP扩展名的文件当作PHP脚本解析执行，但存在几个例外场景需要警惕：

• 如果你的Web服务器配置存在疏漏（比如Apache的AddHandler规则设置错误，或者Nginx的fastcgi_pass配置不当），可能导致服务器误解析特殊命名的文件。比如早年有些服务器会只要文件名包含.php就触发解析，那上传shell.php.jpg就有风险，但现在主流服务器默认不会这么配置。
• 旧版本PHP存在空字节注入漏洞（比如上传shell.php%00.jpg，利用空字节截断扩展名），不过PHP 5.3.4及以上版本已经修复了这个问题，只要你的PHP版本不是过于老旧，这个风险基本可以忽略。
• 还有一种更隐蔽的情况：如果你的网站存在文件包含漏洞，攻击者可以通过PHP的include/require函数调用上传的图片文件（哪怕扩展名是jpg），这时候文件内容里的PHP代码会被解析执行——这种场景下，文件扩展名本身已经起不到防护作用了。

2. 当前的校验机制是否足够安全？ #

你的校验有一定基础，但并不足以完全抵御风险，存在几个明显的短板：

• 只校验了扩展名和文件名格式，没有校验文件的实际内容：攻击者很容易把PHP脚本伪装成图片（比如在文件开头加上GIF89a这类图片文件头），扩展名是合法的jpg/gif，但内容里藏着恶意PHP代码。一旦遇到服务器配置失误或者文件包含漏洞，就可能被执行。
• 文件名转换逻辑的局限性：你把.和-转成_，但如果攻击者上传的文件名本身就是合法的字母数字+允许的扩展名（比如shellphp.jpg），这个转换机制根本起不到作用。
• 没有提及文件存储路径的限制：如果上传的文件存在Web可直接访问的目录，即使不被解析，也可能被攻击者下载利用；如果存在路径遍历漏洞，甚至可能覆盖服务器上的关键文件。

3. 需要补充的额外安全措施 #

这里给你列几个关键的加固点，覆盖不同层面的风险：

• 校验文件内容的真实性：
  • 对于图片文件，用PHP的getimagesize()函数验证——这个函数会读取图片的元数据，仅靠伪造文件头的假图片过不了这个校验；
  • 对于压缩文件，可以尝试读取文件头或者进行简单解压验证，确认是合法的zip/rar/7z格式，避免伪装成压缩包的恶意脚本。
• 严格限制文件存储位置：
  • 尽量不要把上传文件放在Web根目录下的可直接访问路径，最好存在Web根目录以外的目录；如果必须放在Web目录，一定要通过服务器配置禁止该目录下的脚本执行。比如Apache可以在上传目录的.htaccess里加：

    <Directory /path/to/your/upload/folder>
        php_flag engine off
        Options -ExecCGI
        AddHandler default-handler .php .pl .py .jsp
    </Directory>
    

    Nginx可以在配置里加：

    location /upload/ {
        location ~ \.(php|pl|py|jsp)$ {
            deny all;
        }
    }
    

• 强制重命名上传文件：
  • 不要保留用户上传的原文件名，而是生成随机文件名（比如用uniqid()加上正确的扩展名），彻底避免攻击者通过文件名进行钓鱼、路径遍历或其他攻击。
• 限制文件大小：
  • 设置合理的最大文件大小，防止攻击者上传超大文件占用服务器磁盘或带宽资源。
• 禁用PHP危险函数：
  • 在php.ini里禁用exec()、system()、eval()这类高危函数，就算真的有脚本被执行，也能大幅降低攻击危害。
• 定期更新服务器和PHP版本：
  • 及时修复服务器、PHP的安全漏洞，避免因为旧版本的已知漏洞被攻击者绕过防护。

内容的提问来源于stack exchange，提问作者Mohammad Salehi