四 | 不能只看扩展名，jpg/png都有固定文件头，用PHP的getimagesize或者Python的imghdr可以识别真伪。    第二招是重命名文件，把用户上传的文件名换成随机字符串，不让原始文件名执行。    

        
$info = getimagesize($_FILES['file']['tmp_name']);
if (!$info || !in_array($info[2], [IMAGETYPE_JPEG, IMAGETYPE_PNG, IMAGETYPE_GIF])) {
 exit('仅允许上传图片');
}
 
$ext = image_type_to_extension($info[2], true);
$save_name = md5(uniqid()) . $ext;
move_uploaded_file($_FILES['file']['tmp_name'], '/upload/' . $save_name);
?>

五 | 上传目录只读、不执行任何脚本，木马传上来也跑不起来。方基善14日在首尔韩国汽车产业协会邀请汽车和电池企业举行“供应链基本法”相关恳谈会，并作出上述表示。方基善表示，通过“供应链基本法”制定与国家核心项目相关产业的财政、税制和金融支援根据，并为筹措供应链稳定化基金做准备。返回搜狐，查看更多责任编辑：