如何解除 WordPress 媒体库文件上传类型限制？

WordPress 媒体库的文件类型限制是出于安全考虑的核心机制，并非系统漏洞。但在特定业务场景下，可通过代码或插件安全地扩展允许列表。

先说结论：该限制是核心安全机制，不建议完全移除，仅应按需添加特定安全文件类型。

先判断：确认所需文件类型是否真的必要，避免开放可执行格式（如 php、exe）。
优先做：使用代码片段或专用插件修改 MIME 类型白名单，而非关闭安全验证。
再验证：上传测试文件确认生效，并检查网站是否出现异常。

原理说明

WordPress 默认通过 MIME 类型验证上传文件，防止用户上传恶意脚本（如 PHP 木马）。当文件扩展名不在允许列表中时，系统会提示“抱歉，出于安全原因不允许使用此文件类型”。该逻辑位于核心函数 get_allowed_mime_types 中。

解决方案一：代码修改（推荐）

通过当前主题的 functions.php 文件添加 MIME 类型过滤代码。注意：建议使用子主题或代码片段插件，避免主主题更新导致代码丢失。

function add_custom_mime_types($mimes) {
  // 按需添加，例如允许 svg 和 webp
  $mimes['svg'] = 'image/svg+xml';
  $mimes['webp'] = 'image/webp';
  return $mimes;
}
add_filter('upload_mimes', 'add_custom_mime_types');

安全警告：切勿添加 php、phtml、exe、sh 等可执行文件类型，否则会导致网站被直接入侵。

解决方案二：使用插件

如果不熟悉代码，可使用可信插件管理上传类型。以下是社区常用插件：

WP Extra File Types：界面友好，支持勾选常见格式。
File Upload Types by WPExplorer：轻量级，专注于扩展允许列表。

安装后在设置页面勾选所需格式即可，无需修改代码。

服务器层面配置检查

即使 WordPress 允许，服务器或 PHP 配置可能仍有限制。若上传大文件或特定类型失败，请检查以下配置：

1. PHP 配置 (php.ini)

upload_max_filesize = 64M
post_max_size = 64M
max_execution_time = 300

2. Nginx 配置

在 server 块中添加或修改：

client_max_body_size 64M;

3. Apache 配置 (.htaccess)

php_value upload_max_filesize 64M
php_value post_max_size 64M

验证方法

上传测试：在媒体库中上传之前被拦截的文件类型，观察是否不再报错。
文件访问：上传后在前台访问该文件链接，确认文件未损坏且能正常显示或下载。
安全扫描：使用安全插件（如 Wordfence）扫描网站，确认没有因修改配置而引入新的风险。

常见风险与排查

主题更新丢失：直接修改主题 functions.php 会在更新时被覆盖，务必使用子主题。
SVG 安全风险：允许 SVG 上传可能带来 XSS 风险，建议配合安全插件对 SVG 进行 sanitization 处理。
服务器限制：若修改后仍无法上传，检查主机商是否在全局层面限制了 MIME 类型或文件大小。
过度开放权限：不要为了方便而允许所有类型，这会让网站暴露在文件上传漏洞风险下。

参考文档

WordPress Codex: https://codex.wordpress.org/
WordPress Developer Resources: https://developer.wordpress.org/

笙亿网络策划

怎么修复 WordPress 媒体库上传漏洞允许文件类型限制？