有风险，判断文件头是不完全的。你可以参看 [链接] 你需要在服务端禁止执行这些代码。简单的说，就是不管他的扩展名是什么，反正这个目录是静态的，不要丢改cgi之类的东西。