Yii2中实现上传文件哈希命名与防重复的核心是：用md5_file()计算内容MD5，取前16位加原扩展名作文件名；数据库content_hash字段建唯一索引；按MD5前四位分两级目录存储；小文件跳过哈希，用finfo校验真实MIME类型。
在Yii2项目中实现上传文件的哈希命名与防重复，核心是避免同名文件覆盖、防止恶意构造相同文件名绕过校验、确保同一内容文件只存一份。这要求对原始文件内容计算哈希值，并以该值作为存储路径或文件名主干，同时配合数据库唯一约束或文件系统存在性检查完成去重。
生成文件内容MD5并用作唯一文件名
第一步：读取上传文件临时路径的原始字节流，调用md5_file()获取32位小写MD5值。
第二步：截取前16位（如substr($hash, 0, 16)）作为文件主名，保留原扩展名——过长哈希会导致路径超限或日志难以阅读，16位已提供足够碰撞规避能力（理论碰撞概率低于1/2⁶⁴）。
第三步：拼接为$filename = $md5Prefix . '.' . $extension，此命名方式天然屏蔽原始文件名干扰，攻击者无法通过伪造filename字段影响存储结果。
将哈希值存入数据库并设置唯一索引
方法一：在附件表（如upload_file）中新增content_hash字段，类型设为CHAR(32)或VARCHAR(32)，并添加UNIQUE KEY content_hash_unique (content_hash)。
方法二：上传前先执行SELECT id FROM upload_file WHERE content_hash = :hash LIMIT 1，查到记录则直接复用已有id和存储路径，不再写入新文件——这一步必须在事务内完成，否则并发上传相同文件时可能漏判。
【必须开启数据库事务，且SELECT后立即INSERT需原子执行】
按哈希值分层创建物理存储目录
第一步：取MD5前两位作为一级子目录（如ab），再取三至四位作为二级子目录（如cd），构成uploads/ab/cd/路径结构。
第二步：使用FileHelper::createDirectory()确保目录存在，该方法会递归创建所有缺失父级目录，比手动mkdir更安全。
第三步：组合完整路径$path = Yii::getAlias('@webroot/uploads/') . $dir1 . '/' . $dir2 . '/' . $filename，然后调用move_uploaded_file($tempPath, $path)完成落盘。
这种两级哈希分目录策略可将单目录文件数控制在万级以内，避免Linux ext4等文件系统因单目录文件过多导致readdir性能陡降。
验证上传文件是否真实重复（跳过空文件与极小文件）
方法一：对大小≤1KB的文件跳过MD5计算，直接按原始名+时间戳命名——空文件或仅含空白字符的文本无法体现业务意义，且MD5计算开销占比过高。
方法二：启用finfo_open(FILEINFO_MIME_TYPE)校验$_FILES['file']['type']是否被篡改，若检测到application/octet-stream但扩展名是.jpg，则拒绝上传——浏览器伪造的Content-Type不可信，必须以实际二进制头为准。
