php怎么实现文件上传_php如何安全实现多文件上传功能教程-php教程-PHP中文网

PHP多文件上传时$_FILES是二维嵌套数组，需用count()判长后遍历；错误处理须依赖error码而非文件名空值；安全校验必须包含is_uploaded_file、安全重命名和内容验证。

php怎么实现文件上传_php如何安全实现多文件上传功能教程

因为 HTML 表单没写对，或 PHP 没按数组方式取值。浏览器提交多文件时，$_FILES 不是扁平结构，而是按字段名嵌套的二维数组 —— 即使只传一个文件，也得当数组处理。

表单必须加 multiple 属性，且 name 带方括号：
$_FILES['files'] 是个关联数组，含 name、tmp_name、error 等键，每个键本身又是索引数组（对应每个文件）
别直接遍历 $_FILES['files']['name']，要先用 count($_FILES['files']['name']) 判长度，再用 for 或 foreach 按索引取每组值
常见错误：写成 $_FILES['files'][0]['name'] —— 这是错的，$_FILES 里没有数字索引顶层

$_FILES 的 error 字段才是唯一可信依据，不能靠 $_FILES['files']['name'] 是否为空来判断。空名可能只是用户没选，也可能上传被拒，但错误码能明确区分原因。

UPLOAD_ERR_OK（0）：成功
UPLOAD_ERR_NO_FILE（4）：根本没选文件（不是错误，是正常无操作）
UPLOAD_ERR_INI_SIZE（1）或 UPLOAD_ERR_FORM_SIZE（2）：超 PHP 配置限制，需检查 upload_max_filesize 和 post_max_size
只要 error !== UPLOAD_ERR_OK，就该跳过该文件，不进后续处理

仅检查扩展名或 MIME 类型远远不够，攻击者能轻易伪造。真正有效的控制点在临时文件路径、目标路径生成和内容解析三个环节。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

永远用 is_uploaded_file($_FILES['files']['tmp_name'][$i]) 包裹 move_uploaded_file，防止 LFI 利用恶意 tmp_name
目标路径不能拼接原始文件名：$ext = pathinfo($_FILES['files']['name'][$i], PATHINFO_EXTENSION); $safe_name = uniqid() . '.' . strtolower($ext);
对图片类文件，用 getimagesize($_FILES['files']['tmp_name'][$i]) 二次验证是否真为图像，避免 `.php.jpg` 绕过