在php中检查mime类型相当容易，但据我所知mime可以被伪造。攻击者可以上传带有jpeg mime类型的php脚本。一个想法是检查上传文件的文件扩展名并确保其与mime类型匹配。所有这些都假定上传目录是浏览器可访问的。
问题：除了mime类型欺骗外，还有哪些方法可以防止“坏文件”进入？
答：除了检查mime类型外，还可以使用以下技术来预防“坏文件”的上传：简短回答：不行。
较长回答：
比较扩展名并确保其与MIME类型匹配并不能真正防止任何事情。正如评论中所说，修改文件扩展名甚至更容易。 MIME类型和扩展名仅被认为是提示，其中没有固有的安全性。
确保传入的文件不会造成伤害非常依赖于您打算使用它们的目的。在这种情况下，我理解您正在等待图像。因此，您可以先进行一些合理性检查：扫描前几个字节，以查看文件是否包含相关图像头签名-所有相关图像格式都具有这些。
“签名标头”帮助您确定文件试图模拟哪种图像格式。在下一步中，您可以检查其余内容是否符合底层图像格式。这将确保文件确实是该特定格式的图像文件。
但即使如此，文件也可能以精心制作的方式制作，以便在显示图像时，用于显示该图像的流行库（例如libpng等）会遇到攻击者在该库中找到的缓冲区溢出。
不幸的是，除了根本不允许来自客户端的任何输入之外，没有任何方法可以积极防止这种情况。
注意 - 此答案已过时
getimagesize的文档明确指出“不要使用getimagesize()来检查给定文件是否为有效图像。”
示例代码：
function getRealMimeType($filename) {
$finfo = new finfo(FILEINFO_MIME, "/usr/share/misc/magic");
if (!$finfo) {
echo "Opening fileinfo database failed";
return "";
}
return $finfo->file($filename);
}
请参阅finfo_file文档。
getimagesize 的文档明确指出："不要使用 getimagesize() 来检查给定的文件是否为有效图像。而应该使用专门的解决方案，如 Fileinfo 扩展。" - chintogtokh为了安全起见，"mime_content_type"和"exif_imagetype"不应用于安全目的，因为它们都允许欺骗文件！
更多详细信息请参见以下链接： https://straighttips.blogspot.com/2021/01/php-upload-spoofed-files.html
如果要在 "public_html" 文件夹中上传文件，则检查文件扩展名以阻止危险文件扩展名（例如 ".php"）是最好的方法！
杀毒软件扫描也是一个不错的替代方案，因为一些欺骗文件会被杀毒软件检测到！
检查文件扩展名。
<?php
$okFiles = array('jpg', 'png', 'gif');
$pathInfo = pathinfo($filename);
if(in_array($pathInfo['extension'], $okFiles)) {
//Upload
}
else {
//Error
}
?>
就像你所说的那样，你也可以检查扩展名与MIME类型是否匹配，但只检查扩展名要简单得多。
顺便问一句，你为什么关心MIME类型呢？