在 PHP 项目里，我们常常要检查用户上传或接口传入的文件是不是某个特定文件，比如只允许 logo.png。这时候不能直接拿完整路径去比，而要先安全地提取出文件名字符串，再做比较。提取和比较的过程如果忽略了一些细节，就可能出现安全漏洞或者逻辑错误。
为什么不能直接比较完整路径
用户传来的路径可能带有目录部分，例如 ../../etc/passwd 或者 uploads/logo.png。如果直接用等于号去和 logo.png 比较，结果一定不相等，而且恶意构造的路径还可能引发任意文件读取。所以我们需要先把文件名从路径里取出来。
使用 basename 提取文件名
PHP 内置的 basename() 函数可以返回路径中的文件名部分，自动忽略前面的目录。对于包含多字节字符的情况，只要文件系统和字符串编码一致，通常能正确提取。
<?php
// 用户传入的路径
$path = $_GET['file'] ?? '';
// 安全提取文件名
$name = basename($path);
// 预期文件名
$expected = 'logo.png';
// 字符串比较
if ($name === $expected) {
echo '文件名匹配';
} else {
echo '文件名不匹配';
}
?>
处理大小写与编码问题
有些系统文件名不区分大小写，但 PHP 的字符串比较是区分的。若希望忽略大小写，可以用 strcasecmp() 或者先把两边转成小写。另外需确保脚本文件本身是 UTF-8 编码，避免中文文件名比较时出现乱码。
<?php
$name = basename($path);
$expected = '图标.png';
// 转成小写再比，适用于英文部分
if (mb_strtolower($name) === mb_strtolower($expected)) {
echo '忽略大小写后匹配';
}
?>
更安全的做法
如果文件名来自不可信输入，除了提取和比较，还应限制文件真实存在于指定目录内，或者用白名单加哈希值比对。例如先计算允许文件的哈希，再比对用户文件哈希，避免字符串被绕过。
| 方式 | 优点 | 风险 |
|---|---|---|
| basename 后直接比较 | 简单直观 | 依赖输入规范 |
| 哈希比对 | 不易被伪造 | 需先知道合法文件 |
小结
在 PHP 中安全提取文件名用于字符串比较，核心是先通过 basename() 拿到纯文件名，再根据业务需要统一大小写与编码，最后做严格或宽松匹配。配合白名单和目录限制，就能有效减少出错和安全问题。