PHP缩图利器：TimThumb（timthumb.php）详解
内容提要
TimThumb是轻量级PHP图片缩放脚本，可按URL参数动态缩放、裁剪并缓存图片，常用于WordPress主题生成缩略图。其原理是读取原图，按w/h/zc等参数处理并缓存输出。旧版本存在严重安全漏洞，须升级至2.8.14以上，限制图片来源、关闭任意外链抓取、正确设置缓存目录权限并禁止执行PHP。新项目建议优先使用WordPress原生缩略图或现代图片处理方案。
延伸解读
动态缩略图的取舍：灵活性与维护成本
TimThumb 通过 URL 参数按需生成缩略图，省去了为每种尺寸预先制作图片的麻烦，尤其适合旧主题中文章列表、侧边栏等多尺寸需求。但文章也指出，这种灵活性伴随着独立脚本和缓存的维护负担。对于新项目，WordPress 原生缩略图或 add_image_size() 注册固定尺寸往往更易与媒体库集成，减少额外维护。
安全配置是使用 TimThumb 的前提
文章强调旧版本 TimThumb 存在严重漏洞，必须升级至 2.8.14 或更高。同时需关闭任意外链抓取（$ALLOW_ALL_EXTERNAL_SITES 设为 false），并通过 $ALLOWED_SITES 限制来源域名。缓存目录权限应设为 755 而非 777，并禁止执行 PHP 脚本。这些措施能降低远程抓取和缓存目录被利用的风险，但并不能完全消除历史遗留问题。
缓存机制的双面性：性能提升与更新延迟
TimThumb 的缓存能减少重复缩放计算，降低 PHP 和 GD 扩展的压力。但缓存也带来管理问题：原图替换后旧缩略图不一定立即更新，频繁变更参数可能产生大量缓存文件。文章建议合理设置缓存有效期并建立清理机制，例如定期删除过期文件。缓存目录同样需要正确权限，避免成为安全弱点。
裁剪参数 zc 的实际影响与构图风险
zc 参数控制缩放与裁剪模式，zc=1 通常按目标比例裁剪再缩放，适合统一文章列表缩略图尺寸。但文章提醒，居中裁剪可能切掉靠近边缘的主体，支持对齐参数的版本可调整取景位置。此外，不同版本对 zc 值的具体行为可能有差异，使用前应以所部署版本的源码或文档为准，避免因参数理解偏差导致显示效果不符预期。
Q&A
TimThumb 是什么？它主要用来做什么？
TimThumb 是一个轻量级的 PHP 图片处理脚本，早期广泛应用于 WordPress 主题和 PHP 网站。它可以根据 URL 参数对指定图片进行动态缩放、裁剪和缓存，常用于生成文章缩略图，让开发者无需提前准备多种尺寸的图片。
TimThumb 的工作原理是怎样的？
TimThumb 的处理流程分为四步：1）接收图片请求，URL 中通过 src、w、h、zc 等参数指定原图和目标尺寸；2）检查并读取原图，依赖 PHP GD 扩展；3）根据参数缩放或裁剪图片；4）输出结果并缓存到缓存目录，后续相同请求可直接读取缓存。
TimThumb 的常用参数有哪些？分别有什么作用？
常用参数包括：src 指定原图路径；w 和 h 指定目标宽度和高度；zc 控制缩放与裁剪模式（如 zc=1 按目标比例裁剪）；q 设置输出图片质量；a 设置裁剪对齐方式；s 启用锐化；cc 指定画布背景色；ct 控制画布透明度；f 支持图像滤镜。具体支持情况因版本而异。
使用 TimThumb 存在哪些安全风险？应该如何防范？
旧版本 TimThumb 存在严重安全漏洞，如任意代码执行和远程图片抓取风险。防范措施包括：升级到 2.8.14 或更高版本；设置 $ALLOW_ALL_EXTERNAL_SITES 为 false，限制 $ALLOWED_SITES 白名单；关闭 ALLOW_EXTERNAL；缓存目录权限设为 755 并禁止执行 PHP；定期清理缓存；新项目优先考虑其他方案。
TimThumb 和 WordPress 原生缩略图处理有什么区别？
TimThumb 在图片请求时按 URL 参数动态处理，使用自身文件缓存，需要维护独立脚本和缓存；WordPress 原生处理通常在上传时生成已注册尺寸，使用媒体库文件，通过特色图像接口获取，维护更简单。TimThumb 适合旧主题兼容或特定动态裁剪需求，原生方案适合一般 WordPress 网站。
除了 TimThumb，还有哪些生成 WordPress 缩略图的替代方案？
替代方案包括：1）使用 WordPress 原生特色图像接口（get_the_post_thumbnail 等）；2）使用 add_image_size() 注册固定尺寸（如 280×210 硬裁剪）；3）使用现代图片处理库或图片服务，支持动态裁剪、WebP/AVIF 格式、CDN 等。新项目建议优先选择维护成本低、安全性好的方案。
