phpでアップロードするファイルの拡張子を制限したい。

自分は管理画面などのページでよく使い回すので拡張子のチェックを関数にしています。

<?
    function chk_ext( $chk_name, $allow_exts=array( "png", "pdf", "jpg" ) ) {
        //使用出来ない拡張子のチェック
        $ext_err = true;//エラーフラグは初期値 真
        $exts = preg_split( "/[.]/", $chk_name );// ファイル名を.で分割する。
        if( count( $exts ) < 2 ) return false;
        $ext = $exts[ count( $exts ) - 1 ];//.で分割した最後のブロックの文字列を取得する
        foreach(  $allow_exts as $val ) {
            if( !empty( $val ) ) {
                //$len = strlen( $val );
                //if( strncasecmp( strtoupper($val), strtoupper($ext), $len ) == 0 ) {
                if( strcasecmp( $val, $ext ) == 0 ) { //修正しました(2016/03/23/01:22)
                    $ext_err = false;//エラーフラグ 偽に変更
                    break;
                }
            }
        }
        $ret = !$ext_err;//戻り値はエラーフラグを反転
        return $ret;
    }
    //ファイル名の拡張子チェックテスト
    $err_text = "";
    if( !chk_ext( $_FILES["upfile"]["name"] ) ) {
        $err_text .= "認められていない拡張子です。";
    }
?>

その他にファイルのアップロード時に検証した方が良い項目は以下のようなものがあります。

A. 日本語がファイル名に含まれていないか？
B. ファイル名にA-Za-z_-. 以外の文字が含まれていないか？
C. POST時にエラーが発生していないか？
D. ファイル名が空でないか？
E. 不正なパスを表す文字列がファイル名に含まれていないか？( /  や ../ など )
F. ファイルサイズが0バイトより大きく指定値以内か？
G. 本当にアップロードされたファイルなのか？（is_uploaded_file()で確認します）
H. 既存ファイルが存在していないか？(削除して上書きする、またはエラーとするか？)

・A,B,Eについて
 1. POST時にファイル名に指定の英数字と記号以外の文字が含まれていないか及び、
    拡張子が存在しているかのチェックをjavascriptで行います。(拡張子のチェックは手抜きでPHPのみです)

<script type="text/javascript">
<!--
function selOk( ) {
    var str = document.form1.upfile.value;
    if( str.match(/[^A-Za-z0-9_\-\.]+/)  ) {
        alert("ファイル名に英数字._-以外の文字が含まれています。");
        return false;
    }
    var ext_i = str.lastIndexOf( ".", str );
    if( ext_i <= 0 ) {
        alert("ファイル名に拡張子がありません");
        return false;
    }
    return true;
}
-->
</script>

submitボタンをクリックした時に呼び出してチェックします。

<input name="SubmitFile" type="submit" value="アップロード"  onClick="return selOk()">

 2. POST後にPHPで同様にチェックします。

<?
    function is_ansi( $str ) {
        //英数字._-だけかチェックします
        if( strlen( $str ) <= 0 ) return false;
        if( preg_match( "/[^A-Za-z0-9_\.\-]/", $str ) ) {
            return false;
        } else {
            return true;
        }
    }
    //ファイル名のチェック
    $userfile = basename( $_FILES['upfile']['name'] );
    if( !is_ansi( $userfile ) ) {
        $err_text .= "ファイル名に英数字._-以外の文字列が含まれています。"; 
    }
?>

・Cについて
エラー情報の $_FILES['upfile']['error']の値が0より大きい場合はエラーになります。

・Fについて
$_FILES['upfile']['size']をチェックします。
サーバーのphp.iniの設定が２Mバイトになっているかも確認してみてください。

<?
    $MAXSIZE = 2097152;
    if( ( $_FILES['upfile']['size'] > 0 )  && ( $_FILES['upfile']['size'] < $MAXSIZE ) ) {
        //サイズがOKな場合の処理
?>

move_uploaded_file()のコピー先の指定は安全の為にフルパスで記述するほうが良いかと思います。
纏めるとこんな感じになります。

<?
    $MAXSIZE = 2097152;
    $save_dir = "/home/sample-net/public_html/images/";
    $info = "";
    $err_text = "";
    if( !empty( $_FILES['upfile']['name'] ) && empty( $_FILES['upfile']['error'] ) ) {
        if( ( $_FILES['upfile']['size'] > 0 )  && ( $_FILES['upfile']['size'] < $MAXSIZE ) ) {
            if( is_uploaded_file( $_FILES['upfile']['tmp_name'] ) ) {
                //元のファイル名を取得
                $userfile = basename( $_FILES['upfile']['name'] );
                if( chk_ext( $userfile ) && is_ansi( $userfile ) ) {
                    //保存先ファイル名のフルパスを作成
                    $dest_name = $save_dir . $userfile;
                    $tmpfile = $_FILES['upfile']['tmp_name'];
                    if( !file_exists( $dest_name ) ) {
                        //ファイルのコピー処理
                        if( !move_uploaded_file( $tmpfile, $dest_name ) ) {
                            $err_txt .= "ファイルコピーに失敗しました $userfile...$tmpfile > $dest_name<br>\n";
                        } else {
                            $info .= "アップロードに成功しました $userfile ... $dest_name<br>\n";
                            chmod( $dest_name, 0644 );
                        }
                    } else {
                        $err_text .= "既存のファイルです。<br>\n";
                    }
                } else {
                    $err_text .= "ファイル拡張子が認められない形式かファイル名に半角英数字._-以外が含まれています。<br>\n";
                }
            } else {
                $err_text .= "ファイルがアップロードされていません。<br>\n";
            }
        } else {
            $err_text .= "ファイルサイズが指定サイズ外です。<br>\n";
        }
    } else {
        $err_text .= "ファイルアップロードエラーです。<br>\n";
    }
?>

//formタグの直前あたりにテキストを表示します
<?
    if( !empty( $info ) )print $info;
    if( !empty( $err_text ) )print $err_text;
?>

・Hについて
file_exists( )関数で既存ファイルが無いかチェックし、上書きするならunlink()関数を呼びます。

<?
    if( file_exists( $dest_name ) ) {
        if( unlink( $dest_name ) ) {
            $info .= "既存の同名ファイルを削除しました。<br>\n";
        }
    }
?>

（これだけ書くとエディタのプレビューが重くなるのは困ったものです。）
動作確認環境 Windows8.1 Pro Firefox 45.0.1