thinkphp文件上传必须先调用think\file实例的validate()或rule()校验，再move()；validate()不作用于模型或全局配置，规则须为纯数组、ext全小写无点，size单位为字节，且需确保表单enctype、目录权限及php上传限制合规。
ThinkPHP 文件上传必须先 validate 再 move，否则 move() 可能静默失败或抛出未捕获异常；validate 不是可选项，是 move 前的强制校验步骤。
validate() 必须作用于 think\File 实例，不能写在模型或全局配置里
很多人把验证规则塞进 validate() 方法里，或者试图在控制器顶部写个全局数组——这完全无效。ThinkPHP 的文件验证只认 $file->validate($rule) 这种调用方式，且 $file 必须是 think\File 实例（由 $request->file('xxx') 返回）。
-
$file为null时别直接调validate()，先判空：if (empty($file)) { $this->error('请选择文件'); } - 规则数组必须是纯 PHP 数组字面量，不支持表达式：
'size' => 2097152✅，'size' => 2 * 1024 * 1024❌（TP 不解析） -
ext值必须全小写、无点、逗号分隔：'jpg,png,gif'✅，'JPG,PNG'或'.jpg,.png'❌ - TP 6.1+ 推荐用
rule()替代validate()，语义更清晰，行为一致：$file->rule(['ext' => 'pdf', 'size' => 10485760])->move(...)
move() 失败却不报错？先检查这三件事
move() 返回 false 或抛异常，但很多情况下它根本没机会执行——因为前置条件不满足。常见“静默卡住”原因不是代码写错，而是环境硬性限制。
- 目标目录不存在或无写权限：确保
public/uploads目录存在，且 Web 用户（如 www-data 或 nginx）有w权限 - 表单漏了
enctype="multipart/form-data"：没有这个属性，$request->file('xxx')永远返回null，后续所有逻辑跳过 -
move()第二个参数（$savename）含非法字符或路径穿越：比如传入../../etc/passwd，TP 会拦截并返回错误，但不会抛异常，getError()才能拿到提示
validate 规则中 size 和 ext 的实际含义与陷阱
size 是文件内容字节数上限，ext 是扩展名白名单——二者都只做基础过滤，不能替代真实类型检测。
-
size单位严格为字节，1MB =1048576，2MB =2097152；PHP.ini 的upload_max_filesize和post_max_size是底层限制，必须 ≥ TP 的size值，否则请求在框架外就被截断 -
ext校验基于客户端提交的文件名后缀，可被伪造；若需防伪装（如把 PHP 脚本改成shell.jpg），必须配合服务端 MIME 检测或内容头识别（例如用finfo_open()） - TP 不校验
type字段（即$_FILES['x']['type']），该值由浏览器提供，极易伪造，仅作参考，不要写进validate()规则
上传成功后怎么拼 URL？别直接拼 public 路径
用 $info->getSaveName() 得到的是相对保存路径（如 20260429/5a1b2c3d.jpg），但直接拼 /public/uploads/... 有风险：如果项目部署在子目录（如 https://example.com/myapp/），硬编码路径会 404。
- 推荐统一走
think\Facade\Filesystem：先存到public磁盘，再用Filesystem::url()生成带 base_url 的完整链接 - 若坚持手动拼，务必通过
Env::get('APP_URL')或配置项获取应用根 URL，而不是写死/public/ -
getRealPath()返回服务器绝对路径，仅用于日志或调试，绝不能返回给前端
最易被忽略的是：validate 规则生效的前提是 $file 非 null 且已通过 PHP 层上传接收；一旦表单缺 enctype 或 Nginx 限制了 body size，整个链路就断在第一步，后面写的任何规则都不会触发。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
