首先配置文件类型与大小限制，再启用目录防执行、MIME校验及文件名随机化，具体为：1. 修改config.php中upload_ext仅保留安全后缀，禁用php等可执行扩展；2. 设置upload_size为10240KB，并同步调整PHP的upload_max_filesize；3. 在上传目录通过.htaccess或Nginx规则禁止php类文件执行；4. 使用finfo_file和getimagesize校验文件实际类型；5. 开启upload_rename并按日期分散存储路径。
如果您尝试在PbootCMS中配置插件文件上传功能，但未正确设置安全限制参数，可能导致恶意文件上传或系统被攻击。以下是针对Pboot插件文件上传安全控制的详细配置方法。
本文运行环境：联想ThinkPad X1 Carbon，Windows 11
一、修改允许上传的文件类型
通过限制可上传的文件扩展名，可以有效防止PHP、JSP等可执行脚本文件被上传至服务器。该配置能从源头阻断大部分基于文件类型的攻击行为。
1、打开PbootCMS安装目录下的config/config.php配置文件。
2、查找与文件上传相关的配置项，如'upload_ext'或类似命名的参数。
3、将值修改为仅包含安全的文件类型，例如：jpg,png,gif,docx,xlsx,pdf。
4、确保移除所有可能被执行的后缀，如php、asp、jsp、exe等。
二、设置上传文件大小上限
限制单个文件的上传大小，可避免因超大文件导致服务器资源耗尽或利用大文件进行DDoS攻击的情况发生。
1、在config/config.php中找到'upload_size'或相关参数。
2、将其设置为合理的数值，单位通常为KB或MB，例如：10240（即10MB）。
3、同时检查PHP配置中的upload_max_filesize和post_max_size是否同步调整。
三、启用上传目录防脚本执行机制
即使上传了非法文件，通过禁止上传目录执行脚本，也能阻止其被解析运行，从而增强安全性。
1、进入服务器文件管理界面，定位到Pboot的上传目录，通常是/upload/或/static/attachment/。
2、在该目录下添加服务器级别的防护规则文件，如Nginx环境下创建.htaccess或直接在server块中配置。
3、添加规则以禁止执行特定类型文件，例如：location ~* \.(php|php5|phtml)$ { deny all; }。
四、校验文件MIME类型与真实类型
仅依赖文件扩展名判断存在绕过风险，结合MIME类型和文件头检测可提升识别准确性。
1、在上传逻辑处理代码中加入对文件MIME类型的验证，使用PHP函数finfo_file()读取实际类型。
2、比对客户端提交的MIME与实际解析出的MIME是否一致。
3、对于图片类文件，可通过getimagesize()函数确认是否为合法图像格式。
4、若发现不匹配或无法识别的类型，立即终止上传并记录日志。
五、启用随机化文件名与存储路径分离
避免攻击者猜测文件路径，通过重命名和分散存储降低文件被直接访问的风险。
1、在配置文件中开启自动重命名功能，设置参数如'upload_rename'为true。
2、使用时间戳+随机字符串生成新文件名，避免原始名称暴露信息。
3、根据日期或哈希值将文件分布到不同子目录中，例如按年月划分路径：/upload/2025/04/。
