PHP中重命名文件最直接方法是rename()函数，它支持跨目录移动与重命名，但要求目标父目录存在、有写权限，且需注意路径合法性、大小写敏感性、跨文件系统限制及安全过滤。
PHP中用 rename() 替换单个文件名最直接
核心就是 rename() 函数，它不只改名，还能跨目录移动+重命名——只要目标路径有写权限，且源文件存在、目标路径父目录存在。
常见错误是忽略路径合法性：比如目标目录不存在时，rename() 直接返回 false，不报错但也不生效；或者用了相对路径却没确认当前工作目录（getcwd()），导致路径解析出错。
- 源路径和目标路径都建议用
realpath()或__DIR__拼接，避免相对路径歧义 - 目标目录必须已存在，
rename()不会自动创建父级目录 - Windows 下注意大小写不敏感，Linux 下大小写敏感，重命名
a.txt→A.txt在 Linux 可能失败
if (rename('/var/www/old/file.log', '/var/www/new/backup_2024.log')) {
echo "成功";
} else {
echo "失败：检查源文件是否存在、目标目录是否可写";
}
跨目录批量替换文件名需先遍历再逐个 rename()
没有内置“批量重命名”函数，得靠 scandir() / glob() + 循环。关键不是怎么循环，而是怎么构造新文件名——尤其涉及序号、时间戳、字符串替换等逻辑时，容易漏掉路径拼接或覆盖冲突。
典型陷阱：用 glob('*.jpg') 获取文件名但没加目录前缀，rename('a.jpg', 'b.jpg') 就会在当前目录操作，而非原目录。
立即学习“PHP免费学习笔记（深入）”；
- 务必用
dirname($old)保留原目录结构 - 批量时建议加
is_file()判断，跳过./..和子目录 - 如果要按规则替换（如把所有
_v1.换成_v2.），用str_replace()或preg_replace()，别用substr_replace()硬切，易越界
$dir = '/data/uploads/';
$files = glob($dir . '*.pdf');
foreach ($files as $old) {
$basename = basename($old);
$new = dirname($old) . '/' . str_replace('_draft', '_final', $basename);
if ($old !== $new && !file_exists($new)) {
rename($old, $new);
}
}
跨文件系统移动时报 “Invalid cross-device link” 怎么办
当源和目标在不同挂载点（比如 /home 和 /mnt/usb），rename() 会失败并触发警告：Warning: rename(): Invalid cross-device link。这不是 PHP 权限问题，是 Linux 内核限制：硬链接不能跨设备，而 rename() 底层依赖原子性重命名，跨设备只能靠复制+删除。
此时必须手动实现：先 copy()，再 unlink()，并检查每步返回值。
-
copy()成功后，立刻unlink()源文件，否则磁盘空间双倍占用 - 复制大文件时注意超时（
set_time_limit(0)）和内存（用stream_copy_to_stream()流式处理更稳） - 务必校验
md5_file()或filesize()确保复制完整，再删源文件
$src = '/mnt/sda1/report.pdf';
$dst = '/mnt/sdb1/archive/report_v2.pdf';
if (copy($src, $dst) && md5_file($src) === md5_file($dst)) {
unlink($src);
echo "跨设备迁移完成";
} else {
echo "复制失败或校验不一致";
}
安全与边界必须检查的三件事
用户输入参与文件名构造时（比如从表单取 $_POST['filename']），不做过滤等于敞开目录遍历和覆盖漏洞。哪怕只是内部脚本，也建议统一加防。
- 禁止路径遍历：用
basename($input)强制截取文件名，丢弃所有路径部分 - 禁止非法字符：Windows 下
: " / \ | ? *，Linux 下控制字符和/，可用preg_replace('/[^a-zA-Z0-9._-]+/', '_', $name)清洗 - 禁止覆盖已有文件：用
file_exists($target)检查，或加时间戳后缀（$name . '_' . time() . '.ext'）
实际项目里，最常被忽略的是“目标路径是否在允许范围内”——比如只允许操作 /var/www/uploads/ 下的文件，就得用 realpath($target) 和 strpos() 校验前缀，否则攻击者传 ../../etc/passwd 就能越权。
