php文件上传需确保表单enctype="multipart/form-data"、input有正确name属性、php配置file_uploads=on且upload_max_filesize/post_max_size合理、web服务器未拦截，move_uploaded_file()前须验证$_files'xxx'为0、目标目录可写、临时文件未过期，并服务端校验mime类型与内容。
PHP 文件上传不是调用一个函数就完事，核心在于 $_FILES 的结构解析、临时文件生命周期管理，以及服务端校验缺一不可。
为什么 $_FILES 里找不到上传的文件？
常见错误现象：表单提交后 var_dump($_FILES) 是空数组或报 Undefined index；$_POST 能取到数据，但 $_FILES 没有。
- 表单必须带
enctype="multipart/form-data"，漏写或写成application/x-www-form-urlencoded都会导致浏览器不发送文件数据 -
<input type="file">必须有name属性，且 PHP 中要按这个name去读$_FILES['xxx']，大小写和下划线必须完全一致 - PHP 配置限制：检查
file_uploads = On、upload_max_filesize（如设为2M，传 3MB 就静默失败）、post_max_size（需 ≥upload_max_filesize） - Apache/Nginx 可能拦截大文件，比如 Nginx 默认
client_max_body_size 1m，上传失败时通常返回 413，但 PHP 层根本收不到请求
move_uploaded_file() 总是返回 false 怎么办？
这是最常卡住的一步：临时文件存在，但移不动。根本原因不是函数写错，而是路径、权限或生命周期问题。
-
move_uploaded_file()只接受$_FILES['xxx']['tmp_name']作为源，不能用其他路径拼接的字符串代替 - 目标目录必须真实存在，且 Web 进程用户（如
www-data或nginx）有写权限；用is_writable()检查比凭感觉靠谱 - 临时文件只在当前请求生命周期内有效，不能存到 session 或数据库里等下次再移——它早就被 PHP 清理了
- Windows 下注意反斜杠路径问题，建议统一用
dirname(__FILE__) . '/uploads/'拼接，避免硬写C:\...\
怎么安全地校验上传的文件？
仅靠前端 accept 或文件后缀判断毫无意义，攻击者能轻易绕过。真正有效的校验必须在服务端做多层验证。
- 先看
$_FILES['xxx']['error']：值为0才代表上传成功，其他值对应不同错误（如1是超upload_max_filesize，2是超MAX_FILE_SIZE隐藏域） - 用
finfo_open(FILEINFO_MIME_TYPE)读取实际 MIME 类型，而不是信任$_FILES['xxx']['type']（浏览器可伪造） - 对图片类文件，可加一层
getimagesize()验证是否真能解析为图像；对 ZIP 等，可用zip_open()尝试打开 - 重命名文件：不要直接用
$_FILES['xxx']['name']，避免路径遍历（如../../etc/passwd）或执行风险（如shell.php.jpg）
PHP 8.1+ 的 UPLOAD_ERR_NO_FILE 和空数组区别在哪？
PHP 8.1 开始更严格地区分“没选文件”和“根本没提交该字段”，这对表单可选上传逻辑影响很大。
- 如果
<input type="file" name="avatar">没选文件且没设required，PHP 8.1+ 中$_FILES['avatar']['error']是UPLOAD_ERR_NO_FILE（值为4），$_FILES仍包含该键 - 但如果整个
<input>标签都没出现在表单里（比如 JS 动态删掉了），那$_FILES['avatar']就是未定义，直接访问会触发 notice - 稳妥写法是先
isset($_FILES['avatar'])，再判断$_FILES['avatar']['error'] !== UPLOAD_ERR_NO_FILE，而不是只靠!empty($_FILES['avatar'])
上传逻辑里最容易被忽略的，是临时文件清理时机和错误码的语义差异——尤其是 PHP 版本升级后 $_FILES 结构的细微变化，不测旧逻辑可能悄无声息地跳过校验。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
