laravel安全上传需验证类型大小、重命名存储、防止脚本执行、控制访问权限：用mimes和max校验，store()自动重命名存storage/app/public，图像用gd剥离恶意内容，nginx禁止执行.php等脚本，敏感文件经控制器鉴权后响应。
Laravel 文件上传不是调个 store() 就完事的——漏掉验证、忽略文件类型限制、硬编码路径，上线后大概率会遇到 "The file must be a file of type: pdf, jpg." 这类报错，或者更糟：上传了恶意 PHP 文件被直接执行。
怎么安全地接收并保存上传的文件
Laravel 的 request->file() 返回的是 UploadedFile 实例，不是普通字符串。必须先用 isValid() 确认上传成功，再检查 getClientOriginalExtension() 和 getMimeType() 做双重校验，不能只信后缀名。
- 在控制器里用
request()->validate()强制约束，例如：['avatar' => 'required|file|mimes:jpg,jpeg,png|max:2048'] - 保存时别用
store('avatars')直接扔进 public —— 默认存到 storage/app/，要公开访问得配合php artisan storage:link - 如果真要存到 public（比如头像），改用
storeAs('public/avatars', $name)，但必须确保该磁盘配置为'driver' => 'local'且 root 指向public/
为什么 storeAs() 保存的文件打不开
常见原因是路径拼写错误或权限问题。比如传入 storeAs('images', 'user_1.jpg')，但没在 config/filesystems.php 里把 images 映射到实际可写的目录；或者用了 public 磁盘却忘了运行 storage:link，导致生成的链接是 /storage/xxx.jpg 却 404。
- 检查
php artisan tinker中运行Storage::disk('public')->put('test.txt', 'ok')是否成功 - 确认
storage/app/public/下有对应文件，且public/storage是指向它的符号链接 - 避免在
storeAs()第一个参数里写绝对路径（如/var/www/...），Laravel 不认
大文件上传失败的几个关键点
500 错误或空白页，大概率卡在 PHP 层限制，跟 Laravel 本身关系不大。
- 检查
php.ini：确认upload_max_filesize、post_max_size、max_execution_time都调够了（比如都设为128M和300） - Nginx 用户额外加：
client_max_body_size 128m;到 server 块，并重载nginx -s reload - Laravel 表单必须带
enctype="multipart/form-data"，否则request()->file()永远为 null
上传逻辑真正难的不是存文件，而是判断“这个文件到底能不能信”——扩展名可伪造，getMimeType() 可能返回 text/plain 即使它是图片，二进制头检测得自己加。如果业务涉及用户上传 HTML 或 ZIP，就得额外做内容扫描，这时候别硬扛，交给 clamav 或云厂商的文件安全 API 更靠谱。
