CodeIgniter4基础教程：文件上传与安全处理-php教程-PHP中文网

必须遍历 getFileMultiple() 返回的数组并检查每个 UploadedFile 对象的 getError() 是否为 UPLOAD_ERR_NO_FILE（值为4），仅保留 getError() === 0 的对象处理；上传后通过 getName() 获取含自动重命名后缀的最终文件名；解析 XML 前须调用 libxml_disable_entity_loader(true) 防 XXE；上传目录应隔离于 Web 可访问路径，并通过控制器代理下载实现权限控制。

codeigniter4基础教程：文件上传与安全处理

CodeIgniter 4 的文件上传本身不自动校验内容安全性，move() 成功不代表文件可安全解析或公开访问——必须手动补全验证、重命名、路径隔离和内容过滤三道防线。

如何正确判断用户是否真的上传了文件（特别是多文件）

用 $this->request->getFileMultiple('files') 获取多文件时，即使用户没选任何文件，返回的也不是空数组，而是一个包含“空占位符”对象的数组，每个对象的 error 属性值为 4（即 UPLOAD_ERR_NO_FILE）。直接判空会误认为有文件。

必须遍历结果并检查每个 UploadedFile 对象的 getError() 方法是否等于 UPLOAD_ERR_NO_FILE
只保留 getError() === 0 的对象进行后续处理

示例逻辑：

foreach ($this->request->getFileMultiple('car_gallery') as $file) {
    if ($file->getError() === UPLOAD_ERR_NO_FILE) {
        continue; // 跳过未选中的占位符
    }
    if ($file->isValid() && !$file->hasMoved()) {
        $file->move(WRITEPATH . 'uploads/', $file->getRandomName());
    }
}

上传后怎么拿到服务器上最终保存的文件名（含重命名后缀）

当同名文件已存在时，move() 会自动添加下划线+数字后缀（如 report_1.pdf），但该方法只返回布尔值，不暴露新名字。不能依赖 getClientName() 或原始输入名存库。

调用 $file->getName() —— 这是唯一能拿到最终磁盘文件名的方法
getClientName() 返回的是浏览器提交的原始名（可能含路径、非法字符）
getTempName() 是临时文件路径，不可用于持久化引用
数据库记录必须用 getName()，否则下载链接或路径拼接会 404

上传 XML 文件时最常漏掉的安全步骤

CodeIgniter 4 不会自动禁用外部实体加载，simplexml_load_file() 或 DOMDocument::load() 默认开启 XXE 支持，攻击者可通过恶意 XML 读取服务器敏感文件（如 /etc/passwd）。

CodeIgniter 4.7.0

CodeIgniter下载页提供 CodeIgniter 4.7.0 官方源码包，并整理框架安装、数据库配置与入门开发说明。

下载

必须在解析前立即调用 libxml_disable_entity_loader(true)
若需捕获解析错误，搭配 libxml_use_internal_errors(true) + libxml_get_errors()
避免用 simplexml_load_string(file_get_contents($file->getTempName())) —— 多一次读取且绕过 UploadedFile 的校验链
XML 文件上传路径必须设为非 Web 可直接访问目录（如 WRITEPATH . 'uploads/xml/'），不能放在 public/ 下