我读了关于主题的其他问题。我知道我不应该依赖的东西。
我用basename函数检查文件名并重复点（最后一个除外）。然后我获得具有爆炸功能的文件扩展名，并使用我定义的黑名单进行检查。我的问题是;为什么需要任何其他控制？即使它是恶意的PHP代码，（afaik）它也不会被执行，因为它的扩展名不是php。 php设置中已存在文件大小限制。那么，为什么？
答案 0 :(得分：1)
因为你永远不会知道攻击者的创造力。作为一个人，现在如何在大学里学习计算机和网络安全课程，我可以说老师每周都会让我思考如何通过为随机页面设置安全性来滥用有人忘记做的小事情。 \设备。
答案 1 :(得分：1)
有1000个答案为什么没有，但想象如下：我可以上传一个.htaccess文件，使其他扩展由PHP处理，因此我可以绕过你的“只有.php文件是可执行的”。一个非常简单的:)
答案 2 :(得分：0)