thinkphp 6.x 用 think\file 替代已废弃的 think\upload，需通过 request()->file() 获取实例并调用 isvalid() 校验，再用 store()/storeas() 结合 filesystem 驱动保存，禁用 $_files 直接操作，强制 checkmime() 防伪装文件。
ThinkPHP 6.x 中 think\File 替代已废弃的 think\Upload
ThinkPHP 6.0 起彻底移除了 think\Upload 类，旧项目升级后直接调用会报 Class 'think\Upload' not found。这不是配置问题，是类本身被删了。
现在统一用 think\File（对应上传的单个文件对象）配合 think\facade\Filesystem 或 think\filesystem\Driver 处理保存逻辑。核心不是“换一个类”，而是从“上传控制”转向“文件对象 + 文件系统驱动”两层协作。
-
think\File是对$_FILES数组中单个项的封装，提供moveTo()、getInfo()、isValid()等方法，不负责路径生成或磁盘写入 - 真正保存到本地/云存储，要交由
Filesystem驱动处理，比如public或upload磁盘配置 - 别再手动拼接
$_FILES['xxx']['tmp_name']—— 这样绕过框架校验，既不安全也丢失扩展名、MIME 推断等能力
如何用 request()->file() 正确获取并验证上传文件
ThinkPHP 6+ 的入口是 request()->file()，它返回 think\File 实例，不是数组。常见错误是把它当数组取值，或漏掉 isValid() 校验。
典型误操作：$file = $_FILES['avatar']; $file['tmp_name'] —— 这跳过了框架的上传安全检查（如文件大小、类型白名单、临时目录合法性），且无法使用后续的 moveTo()。
- 必须先调用
$file->isValid()，否则后续操作会抛异常；上传失败（如超限、无文件）时它返回false - 推荐用
$file->rule('date', 'Y-m-d')->move($savePath)控制保存路径和命名，避免硬编码时间戳或随机字符串 - 如果需要限制类型，用
$file->checkExt(['jpg', 'png'])或$file->checkMime(['image/jpeg', 'image/png'])，注意 MIME 比扩展名更可靠，但依赖客户端上报 - 上传多个文件时，
request()->file('images')返回数组，需遍历每个think\File实例单独处理
Filesystem 配置与 moveTo() 的路径陷阱
很多人以为 $file->moveTo('uploads/avatar.jpg') 就能直接写入，结果报错 failed to open stream: No such file or directory —— 因为 moveTo() 只接受绝对路径，且目标目录必须存在、有写权限。
正确做法是：用 Filesystem 驱动管理路径。例如配置 config/filesystem.php 中的 upload 磁盘指向 runtime/upload，然后：
$file = request()->file('avatar');
if ($file && $file->isValid()) {
$path = $file->store('avatar', 'upload'); // 自动创建子目录、生成唯一文件名
}
-
store()和storeAs()是推荐方式，它们内部调用Filesystem，自动处理目录创建、重命名、扩展名保留 - 不要把
moveTo()的路径写成相对路径（如'uploads/1.jpg'），它不会自动补ROOT_PATH，必须传__DIR__.'/../public/uploads/1.jpg'这种完整路径 - 若用
storeAs('avatar', 'user_'.$id.'.jpg')，注意第二个参数不能含路径分隔符（/），否则会当成子目录，实际保存位置可能偏离预期
为什么上传后图片打不开？常见 MIME 与扩展名不一致问题
用户上传 evil.jpg.php 并重命名为 avatar.jpg，但内容仍是 PHP 脚本——这种“伪装文件”在 checkExt() 下能过，checkMime() 才真正读取二进制头判断类型。
ThinkPHP 默认不强制 MIME 校验，仅靠扩展名过滤风险极高。尤其在用户头像、富文本图片等场景，容易引发远程代码执行。
- 务必开启
$file->checkMime(['image/jpeg', 'image/png', 'image/gif'])，比checkExt()多一层真实内容检测 - 如果上传的是 Base64 图片（如富文本粘贴），
request()->file()拿不到，得走input('base64_image')，然后用file_put_contents()写入前手动解析 MIME 和内容 - GD 或 Imagick 处理图片前，建议再用
exif_imagetype()做一次本地校验，防止某些边缘格式绕过框架检测
上传逻辑里最易被忽略的，是“校验”和“保存”不在同一个上下文里做。比如先 checkExt() 通过，再用 store() 保存，中间没锁住文件对象，就可能被替换。所以所有校验必须在 moveTo() 或 store() 之前一次性完成，别拆开。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
