最稳方案是：先筛后缀，再读文件头校验magic bytes，用finfo检查mime类型，保存为随机名且路径禁脚本执行，phpspreadsheet设setreaddataonly(true)和限定工作表，流式读取，pdo预处理+事务写库。
只允许上传 .xlsx 和 .xls 文件，PHP 怎么做最稳？
靠前端 “ 或 JS 检查后缀纯属摆设，必须在 PHP 层硬校验。关键不是看文件名后缀，而是读取文件头（magic bytes）+ 解析实际内容结构。
- 先用
pathinfo($filename, PATHINFO_EXTENSION)快速筛掉明显不对的后缀（如.php、.exe），但不能仅依赖它 - 再用
fopen()读取前 16 字节，比对 Excel 文件特征：\xD0\xCF\x11\xE0（.xls）或PK\x03\x04（.xlsx 的 ZIP 头） - 最后尝试用
PhpSpreadsheet加载——如果抛出PhpOffice\PhpSpreadsheet\Reader\Exception，说明不是合法 Excel，直接拒收
$_FILES['file']['name'] 后缀可被伪造，怎么防？
攻击者改个 student.php.xls 就能绕过简单 str_ends_with() 判断。真实风险在于：你用 move_uploaded_file() 存到临时目录后，仍可能被当成 PHP 执行（尤其当 web server 配置宽松时）。
- 不要用原始文件名保存，生成随机名（如
uniqid('import_').'.xlsx'） - 保存路径必须在 web root 外，或至少禁用该目录下所有脚本执行（Nginx 加
location ~ \.(php|sh|pl)$ { deny all; }） - 上传后立即用
finfo_open(FILEINFO_MIME_TYPE)检查 MIME 类型，application/vnd.ms-excel和application/vnd.openxmlformats-officedocument.spreadsheetml.sheet才放行
用 PhpSpreadsheet 导入前，为什么一定要调 setReadDataOnly(true)？
不加这个，Excel 里带公式的单元格会触发计算引擎，可能执行恶意宏逻辑（虽现代版本默认禁用，但兼容性风险仍在），更严重的是：大文件加载全量对象会吃光内存。
