Laravel文件上传验证失败：如何识别application/octet-stream类型的PNG/JPEG/PDF

这个问题我之前也碰到过！核心原因是Laravel默认的mimes验证规则依赖的是HTTP请求里的Content-Type头，而有些上传场景（比如部分移动客户端、文件被修改后重新上传）会把这个头设为application/octet-stream，哪怕文件本身是PNG、JPEG或PDF格式。要解决这个问题，我们需要绕过请求头的限制，直接读取文件的魔术字节（文件开头的特征字节）来判断真实格式。

方案一：使用闭包快速实现验证 #

如果你只是在单个控制器里需要这个验证，可以直接用闭包来完成，不用额外创建类：

$validator = Validator::make($request->all(), [
    'document' => [
        'required',
        'max:25600',
        function ($attribute, $value, $fail) {
            // 初始化finfo对象，用于读取文件真实MIME类型
            $finfo = new \finfo(FILEINFO_MIME_TYPE);
            // 获取文件的真实MIME类型
            $realMimeType = $finfo->file($value->getPathname());
            
            // 定义允许的真实MIME类型列表
            $allowedMimes = ['image/jpeg', 'image/png', 'application/pdf'];
            
            // 检查是否在允许列表内
            if (!in_array($realMimeType, $allowedMimes)) {
                $fail('The ' . $attribute . ' must be a file of type: jpeg, png, pdf.');
            }
        },
    ],
]);

这个闭包的逻辑很简单：用PHP原生的finfo类直接读取文件内容的MIME类型，完全不依赖请求头，所以不管请求里的Content-Type是什么，都能准确判断文件的真实格式。

方案二：创建可复用的自定义验证规则 #

如果多个地方都需要这个验证，推荐封装成自定义规则类，方便复用：

1. 首先创建规则类app/Rules/RealMimeType.php：

<?php

namespace App\Rules;

use Illuminate\Contracts\Validation\Rule;

class RealMimeType implements Rule
{
    protected $allowedMimes;

    // 构造函数接收允许的MIME类型列表
    public function __construct(array $allowedMimes)
    {
        $this->allowedMimes = $allowedMimes;
    }

    // 验证逻辑
    public function passes($attribute, $value)
    {
        $finfo = new \finfo(FILEINFO_MIME_TYPE);
        $realMimeType = $finfo->file($value->getPathname());
        
        return in_array($realMimeType, $this->allowedMimes);
    }

    // 错误提示消息
    public function message()
    {
        return 'The :attribute must be a file of type: ' . implode(', ', $this->allowedMimes) . '.';
    }
}

2. 然后在控制器里引入并使用这个规则：

use App\Rules\RealMimeType;

$validator = Validator::make($request->all(), [
    'document' => [
        'required',
        'max:25600',
        new RealMimeType(['image/jpeg', 'image/png', 'application/pdf']),
    ],
]);

这种方式更优雅，而且可以在项目的任何地方重复使用，后续如果需要新增允许的格式，只需要修改传入的MIME列表即可。

可选：手动检查魔术字节 #

如果你不想依赖finfo（比如某些环境没有启用这个扩展），也可以手动检查文件的开头字节（魔术字节）：

function getRealFileFormat($filePath) {
    $handle = fopen($filePath, 'rb');
    $headerBytes = fread($handle, 8); // 读取前8个字节足够判断常见格式
    fclose($handle);
    
    $hexHeader = bin2hex($headerBytes);
    
    // 根据魔术字节判断格式
    switch (substr($hexHeader, 0, 4)) {
        case 'ffd8':
            return 'jpeg';
        case '8950':
            return 'png';
        case '2550':
            return 'pdf';
        default:
            return null;
    }
}

然后在验证闭包里调用这个函数，检查返回的格式是否在允许列表里即可。不过这种方法需要自己维护各种格式的魔术字节，不如finfo灵活和准确，所以只推荐在特殊环境下使用。

内容的提问来源于stack exchange，提问作者Naveen K