ThinkPHP6.x文件上传：实现图片上传功能并将文件安全存储到服务器本地-ThinkPHP-PHP中文网

thinkphp6.x安全上传需服务端校验mime类型和文件头，禁用客户端accept与后缀判断；存储路径应为非web可访问的runtime/upload/，文件名用md5+uniqid重命名，url通过web服务器alias映射，严禁直接move到public目录。

thinkphp6.x文件上传：实现图片上传功能并将文件安全存储到服务器本地

ThinkPHP6.x 的文件上传本身不难，但“安全存储”是多数人漏掉的关键——直接用 $file->move() 会埋下路径遍历、文件类型绕过、恶意脚本执行等风险。

仅靠客户端 accept="image/*" 或后缀名判断完全不可信。必须服务端校验 MIME 类型和文件头（magic bytes）。

用 $file->getMime() 获取真实 MIME，只允许 image/jpeg、image/png、image/gif 等白名单值
用 $file->validate(['size'=>2048000, 'ext'=>'jpg,png,gif']) 做基础限制（注意：ext 校验依赖后缀，必须配合 MIME 使用）
更严格时可读取前 4 字节判断：对 jpg 检查是否为 \xFF\xD8\xFF，png 是否为 \x89PNG，需用 file_get_contents($file->getRealPath(), false, null, 0, 4)

避免用户控制目录结构或文件名，否则可能写入 ../public/shell.php 或覆盖关键文件。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

存储路径固定在 public/uploads/ 下，用 date('Ym/d') 分目录（如 public/uploads/202405/12/），防止单目录文件过多
文件名用 md5(uniqid() . $file->getOriginalName() . time()) . '.' . $file->getExtension() 生成，彻底丢弃原始名
务必调用 mkdir(..., 0755, true) 创建多级目录，并检查返回值是否成功

ThinkPHP6 默认把 public/ 设为 Web 可访问根目录，若上传的图片被解析为 PHP（比如通过 .htaccess 或 Nginx 配置错误），就可能远程代码执行。

正确做法是：上传到 runtime/upload/（非 Web 可访问目录），再用 Nginx/Apache 配置别名映射访问路径
如果必须放 public，至少加一层保护：在 public/uploads/.htaccess 中写 SetHandler default-handler（Apache）或 Nginx 中配置 location ~ ^/uploads/.*\.(php|php5|phtml)$ { return 403; }
$file->move() 返回对象后，要立即检查 ->getPathname() 是否在预期目录内，防止符号链接逃逸

URL 不是文件系统路径，必须由 Web 服务器能解析的相对路径构成，且不能暴露真实目录结构。

假设你把文件存到了 runtime/upload/202405/12/abc123.jpg，则对外 URL 应为 /uploads/202405/12/abc123.jpg
这个 /uploads/ 必须由 Web 服务器 alias 到 runtime/upload/，而非软链或重写到 public/
返回 JSON 时字段用 url 而非 path，例如：{"url":"/uploads/202405/12/abc123.jpg"}