http://172.25.254.1/xsslab/level1.php?name=<script>alert(123)</script>

很多上传点的防护都放在“上传那一刻”：限制后缀、检查文件头、控制大小、强制写入 Content-Type。这些检查当然有用，但它们只覆盖了前半段。