ThinkPHP 5.0中实现头像上传、缩略图生成与安全校验：需正确设置form enctype，用request()->file()获取文件，validate校验大小与扩展名，move()后严格判断$info是否为\think\File对象，再用\think\Image生成缩略图。
想在ThinkPHP 5.0项目中快速实现用户头像上传、自动生成缩略图并防止恶意文件上传，却卡在手册找不到对应示例、API参数记不清、move()返回值不会用？这篇教程直接从真实控制器代码出发，跳过所有理论铺垫，只留可粘贴、可调试、可上线的操作路径。
上传单张图片并保存到public/uploads
第一步：确保表单enctype属性正确，否则request()->file()永远返回null。
在HTML中写：
第二步：在控制器方法里获取并移动文件。
$file = request()->file('avatar');<br>if (!$file) $this->error('未选择文件');<br>$info = $file->move(ROOT_PATH . 'public' . DS . 'uploads');
第三步：检查$info是否为\think\File对象——只有成功时才返回该对象；失败时$info为false，且$file->getError()可取具体原因。
【必须判断$info是否为对象，不能只用if($info)】因为某些验证失败时$info可能是空数组，导致后续调用$info->getSaveName()报致命错误。
限制上传类型与大小并重命名防覆盖
方法一：用validate链式调用一次性校验$info = $file->validate(['size'=>2097152, 'ext'=>'jpg,png,gif,jpeg'])->move(ROOT_PATH.'public'.DS.'uploads');
其中size单位是字节，2097152 = 2MB；ext支持逗号分隔，不区分大小写。
方法二：手动构造唯一文件名避免同名覆盖
$fileName = date('Ymd').'_'.md5(microtime(true)).'.'.$file->getExtension();<br>$info = $file->move(ROOT_PATH.'public'.DS.'uploads', $fileName);
这一步必须放在validate之后，否则validate会按原始文件名校验，而move时却用了新名字——但校验逻辑不依赖文件名，所以顺序安全。
注意：validate只校验客户端传来的后缀和Content-Type，无法识别图片是否被篡改。如需深度校验，需配合image_type_to_mime_type()或finfo_open()二次判断。
上传成功后生成缩略图
第一步：确认上传成功且$info有效if ($info && $info instanceof \think\File) {
第二步：用\think\Image打开刚上传的文件
$imagePath = '.' . DS . 'uploads' . DS . $info->getSaveName();<br>$image = \think\Image::open($imagePath);
路径前面加点（.）是因为\think\Image::open()默认以当前入口文件为基准，而上传路径是相对于public目录的。
第三步：生成300×300居中裁剪缩略图并覆盖原图$image->thumb(300, 300, \think\Image::THUMB_CENTER)->save($imagePath);
这行代码会直接修改原图文件，无需另存为新文件。如果不想覆盖，请把$imagePath换成新路径，例如$thumbPath = str_replace('.jpg', '_thumb.jpg', $imagePath);。
多文件上传并批量处理
① 前端表单name属性必须带[]，例如：
② 后端用foreach遍历request()->file()返回的数组：
$files = request()->file('photos');<br>foreach ($files as $file) {<br> $info = $file->validate(['ext'=>'jpg,png'])->move(ROOT_PATH.'public'.DS.'uploads');<br> if ($info) {<br> // 对每张成功上传的图生成缩略图<br> $image = \think\Image::open('.' . DS . 'uploads' . DS . $info->getSaveName());<br> $image->thumb(150, 150)->save('.' . DS . 'uploads' . DS . $info->getSaveName());<br> }<br>}
③ 注意：request()->file('photos')返回的是\think\File对象数组，不是$_FILES原始数组。不要试图用$_FILES['photos']['name'][0]去取值，那会报错。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
