如何使用 cURL 自动上传文件并动态指定文件名（PHP 服务端接收方案）-php教程-PHP中文网

如何使用 cURL 自动上传文件并动态指定文件名（PHP 服务端接收方案）

本文详解如何通过 curl 命令行自动向 php 服务器上传文件，并利用 url 参数传递目标文件名，同时改造 php 脚本安全地接收、验证并保存文件，避免依赖 html 表单手动操作。

本文详解如何通过 curl 命令行自动向 php 服务器上传文件，并利用 url 参数传递目标文件名，同时改造 php 脚本安全地接收、验证并保存文件，避免依赖 html 表单手动操作。

在自动化部署或运维脚本中，常需将本地文件（如日志、配置或数据文件）定时上传至 PHP 后端服务。若文件名固定（例如始终为 test.txt），但内容动态更新，理想方式是不依赖 HTML 表单提交，而是通过 cURL 直接上传，并将期望的保存文件名通过 URL 参数传入——这正是本教程要解决的核心问题。

✅ 正确的 cURL 上传命令

关键在于：不要试图让 $_FILES['fname'] 对应 URL 中的 ?fname=test.txt —— 这是常见误解。$_FILES 只接收 HTTP 文件上传字段（即 multipart/form-data 中的数据），而 URL 参数属于 $_GET。因此，正确的做法是：

使用 -F 参数通过 multipart/form-data 提交文件（cURL 自动设置 Content-Type 和边界）；
同时在 URL 中附加 ?fname=test.txt，供 PHP 读取并用于保存逻辑；
文件字段名可自定义（如 uploadedfile），无需与 URL 参数名一致。

示例命令（在 Unix 终端执行）：

curl -F "uploadedfile=@/path/to/test.txt" "http://myserver.com/upload.php?fname=test.txt"

⚠️ 注意事项：

CurlShip Directory Submission
向CurlShip提交产品，这是一个对机器人友好的SaaS目录。只需一条curl命令即可发布产品，支持OG标签抓取、带徽章的dofollow链接及层级升级。

下载

@ 符号表示上传本地文件路径；

URL 中的 fname=test.txt 会被 PHP 解析为 $_GET['fname']，而非 $_FILES 的键名；

确保 Web 服务器对 download/ 目录有写权限，且路径存在。

✅ 安全可靠的 PHP 接收脚本（升级版）

原始代码存在多个安全隐患：未校验 $_GET['fname']、未过滤文件扩展名、未检查上传是否成功、未防御路径遍历攻击。以下是优化后的完整脚本：

<?php // 1. 检查是否为 POST 请求且包含文件上传
if ($_SERVER['REQUEST_METHOD'] !== 'POST' || !isset($_FILES['uploadedfile'])) {
    http_response_code(400);
    die("Error: Invalid request method or no file uploaded.");
}

// 2. 从 URL 获取期望的文件名（默认回退到上传原始名）
$desiredName = isset($_GET['fname']) ? trim($_GET['fname']) : $_FILES['uploadedfile']['name'];

// 3. 严格校验文件名：仅允许字母、数字、下划线、短横线和点，禁止路径遍历
if (empty($desiredName) || !preg_match('/^[a-zA-Z0-9_.-]+$/', $desiredName)) {
    http_response_code(400);
    die("Error: Invalid filename in URL parameter 'fname'.");
}

// 4. 获取上传临时文件信息
$fileTmp = $_FILES['uploadedfile']['tmp_name'];
$fileSize = $_FILES['uploadedfile']['size'];
$error = $_FILES['uploadedfile']['error'];

// 5. 基础上传校验
if ($error !== UPLOAD_ERR_OK) {
    http_response_code(400);
    die("Upload error: " . $_FILES['uploadedfile']['error']);
}
if (!is_uploaded_file($fileTmp)) {
    http_response_code(400);
    die("Error: File was not uploaded via HTTP POST.");
}
if ($fileSize === 0) {
    http_response_code(400);
    die("Error: Uploaded file is empty.");
}

// 6. 验证扩展名（白名单机制）
$ext = strtolower(pathinfo($desiredName, PATHINFO_EXTENSION));
$allowedExtensions = ['txt']; // 可扩展为 ['txt', 'log', 'csv']
if (!in_array($ext, $allowedExtensions)) {
    http_response_code(400);
    die("Error: Only " . implode(', ', $allowedExtensions) . " files are allowed.");
}

// 7. 构建安全保存路径（防止目录穿越）
$saveDir = __DIR__ . '/download/';
$savePath = $saveDir . basename($desiredName); // 再次 basename 防御 ../ 攻击

// 8. 创建目录（如不存在）
if (!is_dir($saveDir)) {
    if (!mkdir($saveDir, 0755, true)) {
        http_response_code(500);
        die("Error: Failed to create upload directory.");
    }
}

// 9. 移动并保存文件
if (move_uploaded_file($fileTmp, $savePath)) {
    http_response_code(200);
    echo "Success: File saved as '$desiredName' (" . filesize($savePath) . " bytes).";
} else {
    http_response_code(500);
    die("Error: Failed to save uploaded file.");
}
?>

✅ 关键要点总结

URL 参数 ≠ 文件字段名：?fname=test.txt → $_GET['fname']；-F "uploadedfile=@..." → $_FILES['uploadedfile']。
永远不要直接信任 $_GET['fname']：必须进行字符白名单过滤、basename() 处理、扩展名校验。
move_uploaded_file() 是唯一安全的文件保存方式：禁止使用 copy() 或 file_put_contents() 直接处理 $_FILES['tmp_name']。
HTTP 状态码提升健壮性：返回 4xx/5xx 错误码便于 cURL 脚本判断失败原因（如 curl -f 可自动退出）。
移除 HTML 表单部分：自动化场景下无需前端界面，精简代码更安全。

通过以上方案，你即可实现完全无人值守的文件上传流程——无论 test.txt 内容如何变化，只需一条 cURL 命令，即可按指定名称存入服务器，兼顾安全性、可维护性与自动化能力。