PHP 圖片類型處理函數 imagetype 使用指南

前言

PHP 內建 exif_imagetype() 與 getimagesize() 可快速判斷圖片類型，無需完整載入圖片資料。本文說明常用函數、回傳值常數、實戰範例與安全性注意事項。

核心函數對比

IMAGETYPE 常數對照表

實戰範例

1. 上傳驗證：只允許 JPEG/PNG/GIF

$allowed = [IMAGETYPE_JPEG, IMAGETYPE_PNG, IMAGETYPE_GIF];
$type = exif_imagetype($_FILES['avatar']['tmp_name']);

if (!in_array($type, $allowed, true)) {
    die('只允許上傳 JPG、PNG、GIF 圖片');
}

// 取得副檔名
$ext = image_type_to_extension($type, false); // ".jpeg", ".png", ".gif"
$saveName = 'avatar_' . time() . $ext;
move_uploaded_file($_FILES['avatar']['tmp_name'], $saveName);

2. 取得圖片尺寸與 MIME

$info = getimagesize('photo.jpg');
if ($info !== false) {
    list($width, $height, $type, $attr) = $info;
    $mime = $info['mime']; // image/jpeg
    echo "{$width}x{$height}, {$mime}";
}

3. 遠端 URL 圖片類型檢查

$url = 'https://example.com/banner.png';
$type = @exif_imagetype($url); // 需 allow_url_fopen=On
if ($type === false) {
    // 可能非圖片、無法存取、或非支援格式
}

安全性最佳實踐

安全上傳流程

// 1. 檢查檔案大小
if ($_FILES['img']['size'] > 5 * 1024 * 1024) die('檔案過大');

// 2. 檢查檔頭類型
$type = exif_imagetype($_FILES['img']['tmp_name']);
$allowed = [IMAGETYPE_JPEG, IMAGETYPE_PNG, IMAGETYPE_GIF, IMAGETYPE_WEBP];
if (!in_array($type, $allowed, true)) die('不支援的圖片格式');

// 3. 取得安全副檔名
$ext = image_type_to_extension($type, false);

// 4. 重新命名儲存（避免覆蓋、路徑遍歷）
$dest = '/var/www/uploads/' . bin2hex(random_bytes(16)) . $ext;
move_uploaded_file($_FILES['img']['tmp_name'], $dest);

// 5. (可選) 重新壓縮/去除 EXIF，進一步降低風險
$img = imagecreatefromstring(file_get_contents($dest));
// ... 處理後存回

結語

正確判斷圖片類型是檔案上傳安全的第一道防線。請務必使用 exif_imagetype() 或 getimagesize() 檢查檔頭，拒絕信任副檔名與瀏覽器回報的 MIME，並搭配重新命名、尺寸限制、權限隔離等纵深防禦措施。