实现PHP文件上传需前端表单设置enctype="multipart/form-data"，后端通过$_FILES接收，验证文件类型、大小、扩展名，重命名并移动至指定目录，同时加强安全防护。
实现PHP文件上传功能需要前端表单配合后端处理逻辑，确保安全性与功能性。以下是完整的实现步骤，涵盖HTML表单、PHP处理脚本以及常见安全建议。
1. 创建支持文件上传的HTML表单
前端表单必须使用 POST 方法，并设置 enctype="multipart/form-data"，这样才能正确提交二进制文件数据。
2. 编写PHP处理文件上传
在 upload.php 中接收并处理上传的文件。PHP通过 $_FILES 超全局数组获取上传信息。
// 检查目录是否存在，不存在则创建
if (!is_dir($target_dir)) {
mkdir($target_dir, 0755, true);
}// 检查是否选择了文件
if (isset($_POST["submit"])) {
if ($_FILES["uploaded_file"]["error"] !== UPLOAD_ERR_OK) {
echo "文件上传出错：错误代码 " . $_FILES["uploaded_file"]["error"];
$uploadOk = 0;
}
// 检查文件大小（例如限制为5MB）
if ($_FILES["uploaded_file"]["size"] > 5 * 1024 * 1024) {
echo "文件太大，不能超过5MB。";
$uploadOk = 0;
}
// 允许的文件类型
$allowed_types = ["jpg", "jpeg", "png", "gif", "pdf", "txt"];
$file_extension = strtolower(pathinfo($target_file, PATHINFO_EXTENSION));
if (!in_array($file_extension, $allowed_types)) {
echo "只允许上传 JPG, JPEG, PNG, GIF, PDF, TXT 文件。";
$uploadOk = 0;
}
// 防止重名覆盖（可选）
$target_file = $target_dir . uniqid() . "." . $file_extension;
// 尝试移动上传的文件
if ($uploadOk === 1) {
if (move_uploaded_file($_FILES["uploaded_file"]["tmp_name"], $target_file)) {
echo "文件上传成功！保存路径：" . htmlspecialchars($target_file);
} else {
echo "上传失败，可能是权限问题。";
}
}}
?>
3. 安全性注意事项
文件上传是常见的安全风险点，需采取以下措施防范攻击：
立即学习“PHP免费学习笔记（深入）”；
- 验证文件类型：不要仅依赖前端或 MIME 类型，应使用 getimagesize()（图片）或扩展白名单校验。
- 重命名文件：避免使用用户上传的原始文件名，防止路径遍历或执行恶意脚本。
- 设置目录权限：上传目录不应有执行权限（如 PHP），防止上传 webshell。
- 检查临时文件：确保使用 move_uploaded_file() 而非 copy() 或 rename()，防止非法文件操作。
- 限制文件大小：在 php.ini 中配置 upload_max_filesize 和 post_max_size，并在代码中二次判断。
4. 配置PHP支持大文件上传（可选）
如果需要上传大文件，修改 php.ini 相关参数：
upload_max_filesize = 20M post_max_size = 25M max_execution_time = 300 memory_limit = 128M
修改后重启Web服务器（如Apache或Nginx）生效。
基本上就这些。只要按流程处理表单、验证文件、安全存储，就能实现一个基本可用且较安全的文件上传功能。
