探索 PHP 文件上传：从基础实现到安全优化

文件上传是 Web 开发中高频需求，无论是头像上传、附件分享还是资源存储，都离不开这一功能。PHP 作为后端开发的主流语言，提供了简洁的原生上传机制，同时也需要开发者兼顾安全性与实用性。本文将通过实例拆解 PHP 文件上传的核心逻辑，带你快速掌握从基础实现到安全加固的完整流程。

一、PHP 文件上传基础原理

二、基础实现：简易文件上传实例

1. 前端表单（upload.html）

<form action="upload.php" method="post" enctype="multipart/form-data">
  <input type="file" name="file" accept="image/*">
  <button type="submit">上传图片</button>
</form>

• 需指定enctype="multipart/form-data"，否则无法传输文件数据；

• accept="image/*"限制仅上传图片，减少无效请求。

2. 后端处理（upload.php）

<?php
// 定义上传目录（需设置755权限）
$uploadDir = './uploads/';
// 确保目录存在
if (!is_dir($uploadDir)) mkdir($uploadDir, 0755, true);

// 检查文件是否上传成功
if ($_FILES['file']['error'] === UPLOAD_ERR_OK) {
  // 获取文件信息
  $fileName = basename($_FILES['file']['name']);
  $targetPath = $uploadDir . uniqid() . '_' . $fileName; // 拼接唯一文件名

  // 移动临时文件到目标目录
  if (move_uploaded_file($_FILES['file']['tmp_name'], $targetPath)) {
    echo "上传成功！文件路径：" . $targetPath;
  } else {
    echo "上传失败：无法移动文件";
  }
} else {
  echo "上传失败：错误码 " . $_FILES['file']['error'];
}
?>

• uniqid()生成唯一标识，避免文件名重复覆盖；

• move_uploaded_file()是核心函数，将临时文件永久保存到指定目录。

三、安全优化：规避上传风险

1. 验证文件类型

// 允许的MIME类型
$allowTypes = ['image/jpeg', 'image/png', 'image/gif'];
if (!in_array($_FILES['file']['type'], $allowTypes)) {
  die("错误：仅支持JPG、PNG、GIF格式");
}

2. 限制文件大小（2MB 为例）

$maxSize = 2 * 1024 * 1024; // 2MB
if ($_FILES['file']['size'] > $maxSize) {
  die("错误：文件大小不能超过2MB");
}

3. 校验文件后缀

$allowExts = ['jpg', 'jpeg', 'png', 'gif'];
$fileExt = strtolower(pathinfo($fileName, PATHINFO_EXTENSION));
if (!in_array($fileExt, $allowExts)) {
  die("错误：不允许的文件后缀");
}

四、总结