我正在阅读这篇关于如何保护我的网站免受攻击者攻击的文章我停在这些线上，我试图弄清楚它们的意思
您不能依赖文件扩展名或 mime 类型来验证文件是否为图像，因为这些很容易被伪造。即使打开文件并读取标题，或使用功能检查图像大小也不能完全证明。大多数图像格式允许存储评论部分，其中可能包含可由服务器执行的 PHP 代码。
大多数图像格式允许存储评论部分是什么意思？
链接： http: //www.netmagazine.com/features/10-essential-security-tips-protect-your-site-hackers
好吧，就像您可以在 MP3 文件中存储评论一样，许多图像格式也为评论腾出空间。注释只是描述文件的一小段文字。
现在许多应用程序只能从许多不同的文件类型中提取一点点信息，风险在于您的 PHP 代码在从图像文件中提取注释（相对容易的任务）时可能会冒以下风险：将存储在注释中的任何 PHP 代码合并到您的 PHP 代码中。
本质上，这利用了 PHP 中的一个错误，类似于 SQL 注入利用。然而，大多数 HTTP 服务器在发送图像时，以二进制形式发送它们，因此您不必太担心网页上的图像文件会构成威胁。
只需确保您所做的任何图像工作都不会尝试解释评论部分，而是将其传递给格式化程序/清理程序，以确保图像评论部分的内容（如果检索到）不只是插入到 HTML 中显示它的点。