本文介绍如何修改 tinymce 官方图片上传后端脚本，避免文件名冲突，通过时间戳+原文件名的方式生成唯一、可读性强的文件名，并确保安全校验与路径规范。
本文介绍如何修改 tinymce 官方图片上传后端脚本，避免文件名冲突，通过时间戳+原文件名的方式生成唯一、可读性强的文件名，并确保安全校验与路径规范。
在使用 TinyMCE 内置图片上传功能时，若多个用户或同一用户多次上传同名图片（如 logo.png），默认直接使用 $_FILES['file']['name'] 保存会导致文件被覆盖，破坏数据完整性。解决该问题的关键不是简单调用 uniqid() 作用于临时路径（如原代码中错误地对 $temp['tmp_name'] 使用 uniqid()），而是在目标文件名层面生成唯一且语义清晰的文件名。
推荐做法是保留原始文件名主体，附加高精度时间标识（如 time() 或更优的 microtime(true)），并严格拼接扩展名。以下是优化后的核心代码段：
// ✅ 正确：基于原始文件名构造唯一目标文件名
$originalName = $temp['name'];
$fileInfo = pathinfo($originalName);
$extension = strtolower($fileInfo['extension']);
$baseName = preg_replace('/[^a-zA-Z0-9_\-\s]/', '', $fileInfo['filename']); // 清理非法字符
$uniqueName = $baseName . '_' . time() . '.' . $extension;
$filetowrite = $imageFolder . '/' . $uniqueName;
⚠️ 注意事项：
- 勿对 tmp_name 使用 uniqid()：move_uploaded_file() 的第一个参数必须是 PHP 上传机制生成的真实临时路径（$_FILES['file']['tmp_name']），篡改它将导致上传失败；
- 路径安全性：确保 $imageFolder 是绝对路径且已存在（建议用 is_dir() + mkdir() 初始化），并禁止用户控制该路径；
- 防重名增强（可选）：如需更高唯一性，可用 uniqid('', true) 替代 time()，或结合 md5_file($temp['tmp_name']) 做哈希去重；
- 中文/特殊字符处理：pathinfo() 在非 UTF-8 环境下可能解析异常，生产环境建议统一转为 ASCII 文件名（如上例中的 preg_replace 清洗）。
最终，配合原有 MIME 校验、扩展名白名单及 CORS 头配置，即可实现安全、稳定、可追溯的图片上传——每个文件既具备业务可读性（含原名线索），又杜绝覆盖风险。
