ThinkPHP中如何使用validate方法校验上传文件_内置验证器使用-ThinkPHP-PHP中文网

validate方法对上传文件校验无效，因thinkphp默认validate不支持filesize等文件规则；tp5.1需用filevalidate类，tp6.x须构造含tmp_name/size/extension的数组并启用filesize、fileext等内置规则。

thinkphp中如何使用validate方法校验上传文件_内置验证器使用

validate方法对上传文件校验无效？先确认是否用了正确的验证器类型

ThinkPHP 的 validate 方法默认走的是模型验证器（think\Validate），但它不原生支持上传文件对象校验——比如 fileSize、fileExt 这类规则，必须用专门的 think\FileValidate（5.1+）或通过 think\Validate 的扩展规则配合手动提取文件信息。

常见错误现象：validate(['file' => 'require|fileSize:2097152']) 看似合理，但实际会报错或跳过校验，因为 fileSize 规则在普通 Validate 实例里并不存在。

必须显式使用 think\FileValidate 类（TP 5.1.38+ 内置）
或者在普通 Validate 中手动传入 $_FILES['file'] 的 size 和 extension 字段做字符串/数值校验
TP 6.x 已移除 FileValidate，统一改用 Validate + 文件驱动规则，需额外注册 fileSize、fileExt 等内置规则

TP 5.1 使用 `FileValidate` 校验上传文件的正确写法

FileValidate 是专为 $_FILES 数组设计的验证器，能自动识别 tmp_name、size、extension 等字段，无需手动解包。

use think\FileValidate;
<p>$data = $_FILES['avatar'];
$validate = new FileValidate();
$result = $validate->rule([
'size' => 'require|between:0,2097152',
'ext'  => 'in:jpg,png,gif',
])->check($data);</p><p>if (!$result) {
echo $validate->getError(); // 自动映射错误信息
}</p>

rule() 中的键名 size 和 ext 是硬编码字段名，对应 $_FILES['avatar'] 的 size 和 extension（注意不是 name 或 type）
不要写成 'avatar.size' 或 'file.size'，FileValidate 只认原始键
若上传是多文件（$_FILES['images']['name'][0] 形式），需先用 think\facade\File 转成标准数组再逐个校验

TP 6.x 没有 `FileValidate`？用 `Validate` + 扩展规则替代

TP 6.x 移除了独立的 FileValidate，但提供了 fileSize、fileExt、image 等内置规则，前提是验证数据结构得“看起来像文件”。

关键点在于：不能直接传 $_FILES['file'] 整体，而要构造一个含 tmp_name、size、extension 的数组：

use think\Validate;
<p>$file = $_FILES['cover'];
$data = [
'tmp_name'  => $file['tmp_name'],
'size'      => $file['size'],
'extension' => pathinfo($file['name'], PATHINFO_EXTENSION),
];</p><p>$validate = Validate::make([
'tmp_name'  => 'require|fileExists',
'size'      => 'require|fileSize:2097152',
'extension' => 'require|fileExt:jpg,png,jpeg',
]);</p><p>$result = $validate->check($data);</p>

fileExists 规则检查 tmp_name 是否为有效临时路径（防止空上传或伪造）
fileSize 和 fileExt 是 TP 6 内置规则，但只在 Validate 实例中注册后才可用（通常已默认加载）
如果校验失败提示 “rule not exists”，说明当前版本未启用这些规则，需手动添加：Validate::extend('fileSize', \think\validate\Rule::class . '::fileSize');

上传校验绕过风险：别只信客户端或表单限制

前端 <input type="file" accept="image/*" max="2097152"> 完全不可靠，用户禁用 JS 或用 curl 就能绕过。

所有尺寸、类型、内容校验必须在服务端重复执行，且优先以 $_FILES 原始字段为准（如 extension 比 type 更可信，但也要防伪造）
fileExt 校验依赖文件后缀，攻击者可上传 shell.php.jpg 绕过，真正安全的做法是结合 getimagesize() 或 MIME 检测（TP 6 的 image 规则已做此检测）
千万别把 $_FILES['file']['tmp_name'] 直接 move_uploaded_file 到 web 可访问目录，先校验、再重命名、再移动