首先需配置PHP环境并创建安全的文件上传功能，具体包括：启用php.ini中的file_uploads、设置upload_max_filesize和post_max_size；创建enctype为multipart/form-data的HTML表单；通过$_FILES接收文件，验证error状态、文件类型、大小及扩展名；使用getimagesize()和finfo_file()确保文件真实性与MIME类型；重命名文件并存储至非Web目录，限制权限为644，防止安全漏洞。
如果您需要在网站中允许用户提交图片、文档等文件，则必须通过 PHP 实现安全的文件上传功能。这包括接收前端传来的文件数据，并进行验证与存储。以下是实现该功能的具体步骤：
本文运行环境：MacBook Pro，macOS Sonoma
一、启用文件上传配置
PHP 默认支持文件上传，但需确认 php.ini 配置文件中的相关设置已正确开启。若配置不当，可能导致上传失败或安全隐患。
1、打开 php.ini 文件，找到 file_uploads 指令，确保其值为 On。
立即学习“PHP免费学习笔记（深入）”；
2、检查 upload_max_filesize 和 post_max_size 的大小，根据需求调整，例如设为 10M 以支持常见文件类型。
3、修改后重启 Web 服务器（如 Apache 或 Nginx），使配置生效。
二、创建 HTML 上传表单
前端表单必须使用 multipart/form-data 编码类型，才能正确传输二进制文件内容到服务器。
1、编写表单代码，包含文件输入字段和提交按钮。
2、设置 form 标签的 method 属性为 POST，enctype 属性为 multipart/form-data。
3、input 元素的 type 设为 file，并指定 name 属性，用于 PHP 接收时识别。
三、接收并验证上传文件
PHP 使用 $_FILES 超全局数组获取上传文件信息。直接使用未经验证的文件可能引发安全风险，因此必须逐项校验。
1、检查 $_FILES 中对应字段的 error 值是否为 0，确认上传过程中无错误。
2、通过 getimagesize() 函数验证图像文件的真实性，防止伪装成图片的恶意脚本。
3、使用 pathinfo() 获取文件扩展名，并与白名单比对，仅允许 .jpg、.png、.pdf 等安全格式。
4、重新生成文件名，避免使用用户提供的原始名称，推荐使用 uniqid() 或 hash 生成随机文件名。
四、限制文件大小与类型
强制限制上传文件的尺寸和 MIME 类型，可有效防止资源耗尽攻击和可执行文件上传。
1、读取 $_FILES['file']['size'] 的值，判断是否超过预设阈值，如大于 5MB 则拒绝保存。
2、结合 finfo_file() 函数检测文件的实际 MIME 类型，不能仅依赖客户端传递的 type 值。
3、将检测结果与允许的类型列表对比，例如只接受 image/jpeg、image/png 和 application/pdf。
五、安全存放上传文件
上传后的文件不应存放在 Web 可访问目录下，且需设置适当的权限，防止被直接执行。
1、将文件移动至非公开目录，例如 /var/uploads/，并通过 PHP 脚本控制访问逻辑。
2、使用 move_uploaded_file() 函数完成文件转移，该函数具备基本的安全检查机制。
3、设置目标目录权限为 755，文件权限为 644，确保其他用户无法写入或执行。
