PHP实现文件上传并以附件形式发送至Gmail：安全与最佳实践

composer require phpmailer/phpmailer

<form method="post" name="uploadproof" id="uploadproof" enctype="multipart/form-data">
    <input type="hidden" id="wrap" name="wrap" value="upload" />
    <input type="hidden" id="userid" name="userid" value="<?php echo htmlspecialchars($valid_user_id); ?>" /> 

    <!-- 允许上传多个图片文件 -->
    <input type="file" id="images" name="images[]" multiple="multiple" accept=".png,.jpg,.jpeg"/>   

    <!-- 可选：添加其他表单字段，如主题和消息 -->
    <label for="subject">主题:</label>
    <input type="text" id="subject" name="subject" value="KYC Request Submitted">
    <br>
    <label for="message">消息:</label>
    <textarea id="message" name="message">Please find the attached KYC documents.</textarea>
    <br>

    <input type="submit" id="upload" name="upload" class="send" value="Upload" style="float: none;padding:10px;" />
    <span id="load"></span>
    <br />
</form>

<?php
// 引入PHPMailer类
use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\Exception;

require 'vendor/autoload.php'; // Composer autoload

// 假设 $valid_user_id 和 $row 已经从数据库获取
// $sql = "SELECT sno,emailid,fname,lname,mobile,address,city,state,country,status FROM member WHERE emailid='$valid_user_id'";
// ... 执行查询并获取 $row 数组 ...
// 示例数据，实际应从数据库获取
$row = [
    'emailid' => 'user@example.com',
    'fname' => 'John',
    'lname' => 'Doe',
    'mobile' => '1234567890',
    'country' => 'ExampleLand'
];
$valid_user_id = 'user@example.com'; // 假设已验证的用户ID

$postData = $statusMsg = '';
$msgClass = 'errordiv';

if (isset($_POST['upload'])) {
    // 获取提交的表单数据
    $email = htmlspecialchars($row['emailid']);
    $name = htmlspecialchars($row['fname'] . ' ' . $row['lname']); // 假设有姓和名
    $mobile = htmlspecialchars($row['mobile']);
    $country = htmlspecialchars($row['country']);
    $subject = isset($_POST['subject']) ? htmlspecialchars($_POST['subject']) : 'KYC Request Submitted';
    $message = isset($_POST['message']) ? htmlspecialchars($_POST['message']) : 'Please find the attached KYC documents.';

    $uploadedFiles = [];
    $uploadStatus = 1; // 假设初始上传状态为成功

    // 检查是否有文件上传
    if (!empty($_FILES['images']['name'][0])) {
        $allowedTypes = ['jpg', 'png', 'jpeg'];
        $maxFileSize = 5 * 1024 * 1024; // 5MB

        foreach ($_FILES['images']['name'] as $key => $fileName) {
            // 获取单个文件的信息
            $fileTmpName = $_FILES['images']['tmp_name'][$key];
            $fileError = $_FILES['images']['error'][$key];
            $fileSize = $_FILES['images']['size'][$key];
            $fileMimeType = $_FILES['images']['type'][$key];

            // 1. 检查上传错误
            if ($fileError !== UPLOAD_ERR_OK) {
                $statusMsg = "文件 '{$fileName}' 上传失败，错误码: {$fileError}。";
                $uploadStatus = 0;
                break;
            }

            // 2. 检查文件大小
            if ($fileSize > $maxFileSize) {
                $statusMsg = "文件 '{$fileName}' 过大，最大允许 {$maxFileSize / (1024 * 1024)}MB。";
                $uploadStatus = 0;
                break;
            }

            // 3. 检查文件类型（扩展名和MIME类型）
            $fileExtension = strtolower(pathinfo($fileName, PATHINFO_EXTENSION));
            if (!in_array($fileExtension, $allowedTypes)) {
                $statusMsg = "文件 '{$fileName}' 格式不允许，只允许 JPG, JPEG, PNG。";
                $uploadStatus = 0;
                break;
            }
            // 更严格的MIME类型检查，但浏览器提供的MIME类型可能不准确
            // if (!in_array($fileMimeType, ['image/jpeg', 'image/png'])) {
            //     $statusMsg = "文件 '{$fileName}' 的MIME类型不正确。";
            //     $uploadStatus = 0;
            //     break;
            // }

            // 4. 图片内容验证 (getimagesize)
            $imageInfo = @getimagesize($fileTmpName);
            if ($imageInfo === false || !in_array($imageInfo[2], [IMAGETYPE_JPEG, IMAGETYPE_PNG])) {
                $statusMsg = "文件 '{$fileName}' 不是有效的图片文件。";
                $uploadStatus = 0;
                break;
            }

            // 如果所有验证通过，将临时文件信息添加到待处理列表
            $uploadedFiles[] = [
                'tmp_name' => $fileTmpName,
                'name' => $fileName,
                'mime_type' => $fileMimeType // 使用验证后的mime_type或getimagesize的结果
            ];
        }
    } else {
        $statusMsg = '请选择要上传的文件。';
        $uploadStatus = 0;
    }

    if ($uploadStatus == 1 && !empty($uploadedFiles)) {
        $mail = new PHPMailer(true); // 启用异常
        try {
            // 服务器设置
            $mail->isSMTP();
            $mail->Host = 'smtp.gmail.com'; // Gmail SMTP 服务器
            $mail->SMTPAuth = true;
            $mail->Username = 'your_gmail_username@gmail.com'; // 您的Gmail邮箱
            $mail->Password = 'your_gmail_app_password'; // 您的Gmail应用密码
            $mail->SMTPSecure = PHPMailer::ENCRYPTION_SMTPS; // 或 PHPMailer::ENCRYPTION_STARTTLS
            $mail->Port = 465; // 对于ENCRYPTION_SMTPS是465，对于ENCRYPTION_STARTTLS是587

            // 收件人
            $mail->setFrom('your_sending_email@example.com', 'ECZ Members KYC'); // 发件人邮箱和名称
            $mail->addAddress('recipient_email@example.com'); // 收件人邮箱

            // 内容
            $mail->isHTML(true);
            $mail->Subject = 'KYC Request Submitted by ' . $name;
            $mail->Body = '<h2>联系请求已提交</h2>
                <p><b>姓名:</b> ' . $name . '</p>
                <p><b>邮箱:</b> ' . $email . '</p>
                <p><b>手机:</b> ' . $mobile . '</p>
                <p><b>国家:</b> ' . $country . '</p>
                <p><b>主题:</b> ' . $subject . '</p>
                <p><b>消息:</b><br/>' . nl2br($message) . '</p>'; // nl2br 转换换行符

            // 添加附件
            foreach ($uploadedFiles as $file) {
                // PHPMailer可以直接添加临时文件作为附件
                $mail->addAttachment($file['tmp_name'], $file['name']);
            }

            $mail->send();
            $statusMsg = '您的联系请求已成功提交！';
            $msgClass = 'succdiv';
            $postData = ''; // 清空表单数据
        } catch (Exception $e) {
            $statusMsg = "邮件发送失败。错误信息: {$mail->ErrorInfo}";
        }
    } else if ($uploadStatus == 0) {
        // 错误信息已在验证阶段设置
    } else {
        $statusMsg = '未检测到文件上传或文件验证失败。';
    }
}
?>

<!-- 在HTML中显示状态信息 -->
<div class="<?php echo $msgClass; ?>"><?php echo $statusMsg; ?></div>