PHP文件上传

一、表单与 enctype 属性

在 PHP 中实现文件上传，需要通过 HTML 表单向服务器提交文件。在 HTML 表单中，需要添加一个 file 类型的 input，用于选择要上传的文件。同时，在 form 标签中添加 enctype 属性，值为 "multipart/form-data"，这样浏览器才能正确处理表单，将上传的文件发送给服务器。下面是一个文件上传的表单示例：

<form action="upload.php" method="post" enctype="multipart/form-data">
  <input type="file" name="fileToUpload" id="fileToUpload">
  <input type="submit" value="Upload File" name="submit">
</form>

二、PHP上传文件处理

在服务器端，需要通过 PHP 脚本处理上传的文件。在 PHP 中，$_FILES 变量用于保存上传的文件信息。通过 $_FILES['fileToUpload'] 可以获取上传的文件名、临时文件名、文件类型、文件大小等信息。需要注意的是，PHP 脚本必须在 enctype 属性设置成 "multipart/form-data"，且使用 POST 方式提交表单才能获取到 $_FILES 变量。

接下来，可以使用 move_uploaded_file 函数将上传的文件从临时目录移动到服务器指定的目录。move_uploaded_file 函数的第一个参数是临时文件名，第二个参数是目标文件的路径。下面是一个基本的文件上传处理示例：

<?php
$target_dir = "uploads/";  //指定上传文件的保存路径
$target_file = $target_dir . basename($_FILES["fileToUpload"]["name"]); //获取上传文件名
if(move_uploaded_file($_FILES["fileToUpload"]["tmp_name"], $target_file)){  //移动上传文件
    echo "File uploaded successfully.";
} else{
    echo "Upload failed!";
}
?>

上面的代码中，$target_dir 变量指定了上传文件保存的路径，$target_file 变量获取了上传文件名，basename 函数用于去除上传文件路径中的目录部分。如果文件上传成功，move_uploaded_file 函数就会将上传文件从临时目录移动到 $target_file 指定的路径，并返回 true；否则，返回 false。

三、文件上传限制

在文件上传过程中，有时需要对上传的文件进行限制。比如，限制上传文件的大小、类型等。在 PHP 中，可以通过 $_FILES 变量获取上传文件的信息，使用 if 语句判断上传文件是否符合限制条件，如果不符合，则提示错误信息。

下面是一个文件大小限制的示例。在本例中，限制上传文件的大小不能超过 5MB。当上传文件大小超过 5MB 时，提示上传失败。

<?php
$max_size = 5 * 1024 * 1024;  //5MB 文件大小限制
if($_FILES['fileToUpload']['size'] > $max_size){
    echo "File size is too big.";
} else {
    //处理上传文件
}
?>

文件类型限制与文件大小限制类似。在限制文件类型时，需要从 $_FILES 变量中获取上传文件的 MIME 类型（通过 $_FILES['fileToUpload']['type'] 获取），并使用 if 语句判断上传的文件是否符合要求。

四、安全考虑

在文件上传过程中，需要注意安全问题。不安全的文件上传操作可能导致安全漏洞，比如通过上传恶意文件攻击服务器。因此，需要对上传文件进行严格的安全控制。

首先，需要对上传文件的类型进行检查。不允许上传可执行的文件、脚本文件、压缩的可执行文件等。同时，对文件名进行特殊字符检查，防止文件名中包含特殊字符，对服务器造成安全威胁。其次，需要对上传文件的大小进行限制，避免攻击者上传大文件导致服务器瘫痪。最后，需要对上传文件进行重命名，避免上传的文件名与服务器上已有的文件名冲突，从而覆盖重要文件。

下面是一个安全考虑的文件上传示例，该示例限制上传的文件只能是图片文件，大小不能超过 2MB，并使用随机字符串重命名上传的文件。

<?php
$target_dir = "uploads/";  //指定上传文件的保存路径
$target_file = $target_dir . uniqid() . "_" . basename($_FILES["fileToUpload"]["name"]); //获取上传文件名并加上随机字符串
$imageFileType = strtolower(pathinfo($target_file,PATHINFO_EXTENSION));
$max_size = 2 * 1024 * 1024;  //2MB 文件大小限制

//检查文件是否为图片文件
if($imageFileType != "jpg" && $imageFileType != "png" && $imageFileType != "jpeg" && $imageFileType != "gif" ) {
    echo "Only JPG, JPEG, PNG & GIF files are allowed.";
} elseif($_FILES['fileToUpload']['size'] > $max_size) {  //检查文件大小
    echo "File size is too big.";
} else {
    //对上传文件进行重命名并保存到服务器指定目录
    if(move_uploaded_file($_FILES["fileToUpload"]["tmp_name"], $target_file)){
        echo "File uploaded successfully.";
    } else{
        echo "Upload failed!";
    }
}
?>