如何使用 cURL 自动上传文件并从 URL 参数中获取文件名-php教程-PHP中文网

如何使用 cURL 自动上传文件并从 URL 参数中获取文件名

本文讲解如何通过 cURL 命令向 PHP 服务器上传文件，并让服务端自动从 URL 查询参数（如 ?fname=test.txt）中读取目标文件名，避免依赖 HTML 表单手动选择，适用于自动化部署场景。

本文讲解如何通过 curl 命令向 php 服务器上传文件，并让服务端自动从 url 查询参数（如 `?fname=test.txt`）中读取目标文件名，避免依赖 html 表单手动选择，适用于自动化部署场景。

在实际运维或 CI/CD 流程中，常需从 Linux 服务器自动上传固定名称的配置文件（如 test.txt）到 PHP 后端。此时不应依赖浏览器表单交互，而应通过命令行工具（如 curl）完成上传，并确保服务端能安全、可靠地解析并保存文件。

但需注意：原始问题中的思路存在关键误区——URL 中的 ?fname=test.txt 并不会自动成为上传文件的名称，因为 HTTP 文件上传（multipart/form-data）的文件名由客户端在请求体中显式指定，而非从查询字符串（query string）中提取。PHP 的 $_FILES['fname'] 中的 'name' 字段来源于客户端提交的 Content-Disposition 头（如 filename="test.txt"），与 URL 参数无关。

✅ 正确做法分两步：

accurLex专业合同审查

基于5000余部现行法律法规进行的高质量专业合同审查，一键输出审查意见书，并附有参考法条原文，满足专业溯源核查要求。由accurLex知法提供技术支持。 Use when users ask for 合同审查, 审查意见书, 合同风险分析, 条款审查,知法,accurLex or 站在甲方/乙方角度审查合同 through accurLex direct API. China law only, plaintext only, review mode limited to 审查意见书.

下载

客户端（cURL）：显式指定上传字段名和本地路径，并可选传递额外参数
使用 -F 参数模拟表单提交，其中 @ 符号表示读取本地文件。若需将原始文件名透传给服务端，推荐直接利用 $_FILES 的默认行为（cURL 会自动将本地文件名写入 $_FILES['uploadedfile']['name']），无需额外 URL 参数：
```
curl -F "uploadedfile=@/path/to/test.txt" "http://myserver.com/upload.php"
```
若仍需保留 fname 作为 URL 参数（例如用于日志记录、权限校验等），可同时携带：
```
curl -F "uploadedfile=@/path/to/test.txt" "http://myserver.com/upload.php?fname=test.txt"
```

服务端（PHP）：增强健壮性，支持「优先使用上传文件原名，备用 fallback 到 URL 参数」
修改原 PHP 脚本，不再硬编码依赖 $_FILES['fname']（因 cURL 提交的是 uploadedfile 字段），并增加对 $_GET['fname'] 的安全校验与降级处理：

<?php // 安全校验：仅允许 POST 请求 + 文件上传
if ($_SERVER['REQUEST_METHOD'] !== 'POST' || !isset($_FILES['uploadedfile'])) {
    http_response_code(400);
    die("Invalid request: file upload required.");
}

$errors = [];
$file_tmp = $_FILES['uploadedfile']['tmp_name'];
$file_name_from_upload = basename($_FILES['uploadedfile']['name']); // 防止路径遍历
$file_ext = strtolower(pathinfo($file_name_from_upload, PATHINFO_EXTENSION));

// 可选：从 URL 获取期望文件名（需严格校验）
$expected_name = isset($_GET['fname']) ? basename(trim($_GET['fname'])) : '';
$final_name = !empty($expected_name) && in_array($file_ext, ['txt']) 
    ? $expected_name 
    : $file_name_from_upload;

// 白名单校验扩展名
$allowed_exts = ['txt'];
if (!in_array($file_ext, $allowed_exts)) {
    $errors[] = "Only .txt files are allowed.";
}

// 检查临时文件是否存在且上传成功
if (!is_uploaded_file($file_tmp)) {
    $errors[] = "File upload failed.";
}

// 目录安全检查
$upload_dir = __DIR__ . '/download/';
if (!is_dir($upload_dir) && !mkdir($upload_dir, 0755, true)) {
    $errors[] = "Upload directory is not writable.";
}

if (empty($errors)) {
    $target_path = $upload_dir . $final_name;
    if (move_uploaded_file($file_tmp, $target_path)) {
        echo "Success: {$final_name} uploaded.";
    } else {
        $errors[] = "Failed to save file.";
    }
}

if (!empty($errors)) {
    http_response_code(400);
    echo "Errors:\n" . implode("\n", $errors);
}
?>

⚠️ 重要注意事项：

永远不要直接信任 $_GET['fname'] 或 $_FILES['name']：必须使用 basename() 过滤路径遍历（如 ../../etc/passwd），并结合白名单验证扩展名；
-F 参数中字段名须与 PHP 中 $_FILES 键名一致：示例中 cURL 用 uploadedfile，PHP 就读 $_FILES['uploadedfile']；
不建议移除 HTML 表单：开发调试时保留表单有助于快速验证逻辑，生产环境则禁用或移除部分；
权限与目录安全：确保 download/ 目录不在 Web 可访问路径下，或配置 Web 服务器禁止执行其中脚本。

通过以上改造，即可实现全自动、安全、可维护的文件上传流程，兼顾灵活性与安全性。