php怎样实现文件上传_php实现文件上传安全要点【注意】-php教程-PHP中文网

$_FILES数组是PHP处理文件上传的核心，自动填充于enctype="multipart/form-data"表单提交后，含name、tmp_name、size、error、type五键；tmp_name仅本次请求有效，须用move_uploaded_file()安全移动，不可用copy()或rename()。

php怎样实现文件上传_php实现文件上传安全要点【注意】

PHP 文件上传基础：$_FILES 数组怎么用

PHP 文件上传依赖 $_FILES 超全局数组，它不是手动构造的，而是表单提交 enctype="multipart/form-data" 后由 PHP 自动填充。常见错误是忽略它的嵌套结构——每个上传字段对应一个一维数组，含 name、tmp_name、size、error、type 五个键。

关键点：tmp_name 是临时文件路径，仅在本次请求生命周期内有效；move_uploaded_file() 是唯一安全移动它的函数，不能用 copy() 或 rename() 替代。

if ($_FILES['avatar']['error'] === UPLOAD_ERR_OK) {
    $tmp = $_FILES['avatar']['tmp_name'];
    $dest = '/var/www/uploads/' . basename($_FILES['avatar']['name']);
    if (move_uploaded_file($tmp, $dest)) {
        echo "上传成功";
    }
}

绕过前端校验的常见攻击与防御手段

前端和 JS 校验完全不可信，攻击者可直接发 POST 请求上传任意文件。必须在服务端重验：

$_FILES['file']['error'] 必须为 UPLOAD_ERR_OK（0），否则跳过后续处理
不要信任 $_FILES['file']['type']（浏览器伪造，如把 shell.php 改成 image/jpeg）
用 finfo_open(FILEINFO_MIME_TYPE) 检查真实 MIME 类型，例如 image/png、application/pdf
对文件扩展名做白名单校验，且从文件内容推断，而非 pathinfo($name, PATHINFO_EXTENSION)

防止文件覆盖和路径遍历的关键配置

用户可控的 $_FILES['file']['name'] 可能含 ../ 或空字节（%00），导致写入非预期目录或截断扩展名。PHP 7.4+ 已默认过滤空字节，但仍需主动防护：

精英前端设计-专业版

企业级前端设计系统，支持多页面应用、React/Vue组件、品牌一致性与高级动效编排。

下载

用 basename() 提取原始文件名，丢弃所有路径信息
生成服务端唯一文件名（如 uniqid() . '_' . random_int(1000,9999)），不拼接用户输入
目标目录权限设为 755，禁止执行（Web 服务器用户不能有 x 权限）
上传目录不要放在 Web 根目录下，或通过 Web 服务器配置禁止执行脚本（如 Nginx 的 location ~ \.php$ { deny all; }）