必须校验路径遍历字符（..、/、）、空字节与控制字符（-等）、Windows保留名（CON、AUX等）、非法文件系统字符（: " | ? *等）及编码合法性，再清洗重命名。

PHP 中替换文件名前必须校验哪些字符

直接 rename() 会导致失败甚至安全风险，比如传入 ../etc/passwd 或空字节 。PHP 不会自动过滤路径遍历或非法字符，得自己拦住。

• 禁止路径遍历：..、/、（Windows 下反斜杠也要处理）
• 禁止控制字符和空字节： 及 ASCII 0–31 范围内的字符
• 禁止系统保留名（Windows）：CON、AUX、NUL 等（不区分大小写）
• 避免文件系统不支持的字符：如 : " | ? *（Windows），部分 Linux 文件系统也不建议用 / 和

用 preg_replace() 清洗文件名的常见误区

很多人只留字母数字下划线，但这样会丢失中文、emoji、带重音符号的字母（比如 café.jpg）。更合理的做法是「白名单宽松 + 黑名单严格」。

• 先移除所有控制字符：preg_replace('/[--]/', '', $filename)
• 再过滤路径分隔符和保留名：str_replace(['/', '\', '..'], '_', $clean)（注意不是正则，简单替换更安全）
• 最后统一编码检查（推荐 UTF-8）：mb_check_encoding($clean, 'UTF-8')，非 UTF-8 则拒绝或转码

完整校验 + 安全重命名示例

以下函数返回清洗后的合法文件名，或 false 表示校验失败。它不执行重命名，只负责把输入“变成能用的”。

使用华数设计生成高保真HTML原型、演示文稿、动画和设计评审

使用经过文档化的设计技能，从真实的品牌或项目背景中生成HTML原生原型、幻灯片、动态演示、可视化图表和评审流程。

下载

" . htmlspecialchars($safe_name) . "

为什么不能只靠 basename() 或 pathinfo()

这两个函数只拆路径，不校验内容合法性。比如 basename("../../../etc/passwd") 返回 passwd，看似安全，但如果你拼接时用了原始输入（如 $dir . '/' . $_POST['name']），就立刻中招。

• basename() 不过滤空字节、控制字符、Windows 保留名
• 它对 file.txt.jpg 这类截断攻击完全无感
• 真正安全的做法是：先清洗字符串，再生成完整路径，最后用 realpath() + is_file() 确认目标在预期目录内

校验逻辑本身不难，难的是想到所有边界——比如上传表单里用户填了个 CON.PHP，Windows 下连 fopen() 都会静默失败；又比如没过滤 ，日志里就多出意外换行。别省那几行校验代码。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！