finfo_file 是 PHP 中的一個函數，用于檢測文件的 MIME 類型

1. 使用 finfo 資源：

   首先，創建一個 finfo 資源，這樣可以避免每次調用 finfo_file 時都需要重新加載魔術數據庫。這可以提高性能并確保一致性。

   $finfo = new finfo(FILEINFO_MIME_TYPE);
   

2. 檢查上傳文件的 MIME 類型：

   使用 finfo_file 函數檢查上傳文件的 MIME 類型，并與允許的 MIME 類型列表進行比較。

   $mime_type = $finfo->file($_FILES['uploaded_file']['tmp_name']);
   
   // 允許的 MIME 類型列表
   $allowed_mime_types = ['image/jpeg', 'image/png', 'image/gif'];
   
   if (!in_array($mime_type, $allowed_mime_types)) {
       die('Invalid file type.');
   }
   

3. 檢查文件擴展名：

   為了防止攻擊者繞過 MIME 類型檢查，還應該檢查文件的擴展名。

   $file_extension = pathinfo($_FILES['uploaded_file']['name'], PATHINFO_EXTENSION);
   
   // 允許的文件擴展名列表
   $allowed_extensions = ['jpg', 'jpeg', 'png', 'gif'];
   
   if (!in_array(strtolower($file_extension), $allowed_extensions)) {
       die('Invalid file extension.');
   }
   

4. 使用安全的文件名：

   為了防止路徑遍歷攻擊，不要直接使用用戶提供的文件名。而是使用一個安全的文件名，例如使用 uniqid() 和 sha1_file() 函數生成的哈希值。

   $secure_filename = uniqid() . '_' . sha1_file($_FILES['uploaded_file']['tmp_name']) . '.' . $file_extension;
   

5. 將文件移動到一個安全的目錄：

   在將文件保存到服務器之前，確保將其移動到一個專門用于存儲上傳文件的安全目錄。這個目錄應該位于 web 根目錄之外，以防止未經授權的訪問。

   $upload_dir = '/path/to/your/secure/uploads/directory';
   $destination = $upload_dir . '/' . $secure_filename;
   
   if (!move_uploaded_file($_FILES['uploaded_file']['tmp_name'], $destination)) {
       die('Failed to move uploaded file.');
   }
   

通過遵循以上步驟，你可以利用 PHP 的 finfo_file 函數提高文件上傳功能的安全性。