防止图片上传代码注入

我有一个表单，用户填写歌词信息并上传专辑封面。提交的数据将被插入数据库，专辑封面将被移动到子文件夹。

localhost/project-folder/covers

我已经采取了一些预防措施(转义，预处理语句)对SQL注入的表单输入。最近，我了解到我上传文件(图片)也需要注意，用户可以上传恶意图片。

例如，在图像元数据中添加HTML、JS或PHP代码，或者直接将代码嵌入图像文件中。因为我没有广泛使用PHP，所以我不知道这会带来什么问题，尤其是在我的情况下。

我在服务器端做表单验证。

localhost/项目文件夹/歌词/. php

<form action="../scripts/lyrics/submit_lyrics.php" id="lyricsForm" method="post" autocomplete="off" enctype="multipart/form-data">

<我> localhost/项目文件夹/脚本/歌词/submit_lyrics.php

$form_data  = new FormData(["artist", "album", "song", "year", "track_no", "lyrics"], "sssiis");
$file_data  = new FileUpload("cover", [
    "max_file_size" => 512 * 1024,
    "extensions"    => ["gif", "jpg", "jpeg", "png"],
    "mimes"         => ["image/gif", "image/jpeg", "image/png"],
    "max_width"     => 1024,
    "max_height"    => 1024,
]);
$cover = new Cover($mysqli, $form_data, $file_data, BASE."covers/");

验证在FormData和FileUpload初始化时完成。如果有一个无效的字段或上传的图像是无效的，用户将被重定向到表单页面(add.php)，并给出相应的警告。

我读过的防止恶意图像上传的方法之一是从上传的图像中创建一个新图像，这就是我在new Cover()中所做的。我还调整了上传的图像的大小，以便这种方法有效。我用这个函数来调整大小:

public function new_image($file_data, $new_width, $new_height) {
    $img_data   = file_get_contents($file_data->tmp_name);
    $image_type = $file_data->type;
    $img_create = null;
    switch ($image_type) {
        case IMAGETYPE_GIF:
            $img_create = "imagecreatefromgif";
            break;
        case IMAGETYPE_JPEG:
            $img_create = "imagecreatefromjpeg";
            break;
        case IMAGETYPE_PNG:
            $img_create = "imagecreatefrompng";
            break;
    }
    $uploaded_image_resource = $img_create($file_data->tmp_name);
    $new_image_resource      = imagecreatetruecolor($new_width, $new_height);
    imagecopyresampled($new_image_resource, $uploaded_image_resource, 0, 0, 0, 0, $new_width, $new_height, $file_data->image["width"], $file_data->image["height"]);
    return $new_image_resource;
}
public function write_to_disk() {
    if (isset($this->image["resource"])) {
        $destination = $this->target_dir . $this->file_name . ".jpg";
        imagejpeg($this->image["resource"], $destination);
        imagedestroy($this->image["resource"]);
    }
}

这个调整大小也删除(我认为)元数据中的任何代码和/或嵌入在图像中的代码(如果有的话)，因为我正在创建一个新的干净的图像。

文件上传保护是否足够?我错过什么了吗?还有什么我需要注意的吗?