PHP如何判断文件是否为脚本_PHP脚本文件检测法【类型】_网络技术

PHP如何判断文件是否为脚本_PHP脚本文件检测法【类型】

发布时间 - 2026-02-02 00:00:00 点击率：次

最可靠方法是用 finfo_file() 基于内容识别 MIME 类型，再检测文件头是否含 PHP 标记（如

用 `finfo_file()` 检测真实 MIME 类型最可靠

仅靠扩展名（如 .php）判断脚本文件极不可靠——攻击者可上传 shell.jpg.php 或伪造后缀绕过。PHP 的 finfo_file() 基于文件内容识别类型，能有效识别被伪装的 PHP 脚本。

实操建议：

确保 fileinfo 扩展已启用（php -m | grep fileinfo）
使用 FILEINFO_MIME_TYPE 模式，避免返回完整 MIME 字符串干扰判断
对上传临时文件路径调用，而非原始文件名
典型 PHP 脚本的 MIME 类型是 text/x-php 或 application/x-httpd-php，但不同系统可能略有差异，建议同时检查是否含 php 字样

$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mimeType = finfo_file($finfo, '/tmp/php_upload_abc123');
finfo_close($finfo);
if (stripos($mimeType, 'php') !== false) {
    // 可疑 PHP 脚本
}

检查文件头是否含 PHP 开始标记

MIME 类型可能被刻意伪造，进一步验证文件内容开头是否含 PHP 标记（如 、、='），这是脚本执行的前提。

注意点：

用 file_get_contents($path, false, null, 0, 128) 读取前 128 字节即可，避免大文件性能损耗
需考虑编码问题：BOM 头（如 UTF-8 BOM）可能出现在 前，应先用 trim($content, "\xEF\xBB\xBF") 去除
是短标签，依赖 short_open_tag 配置，生产环境通常关闭，但攻击者仍可能利用，建议一并检测

警惕 `.phtml`、`.php5`、`.inc` 等非标准扩展名

Web 服务器配置决定哪些扩展名会被解析为 PHP。Apache 默认解析 .php、.phtml；Nginx 则完全依赖 location ~ \.php$ 这类正则匹配。攻击者常利用冷门扩展名绕过白名单。

检测时应：

不只比对扩展名白名单，而要结合 Web 服务器实际配置逻辑模拟判断
常见可执行扩展包括：.php、.phtml、.php3、.php4、.php5、.php7、.phar、.inc（若被包含在其他脚本中）
注意大小写：.PHP 在 Windows 下等效，Linux 下可能不解析，但某些 Nginx 配置会忽略大小写