PHP表单提交文本与文件上传失败：未定义索引问题求助

问题背景 #

尝试通过PHP表单将文本输入book_title和文件上传file_up插入同一张数据库表时，提示“failed to add”。排查发现字段验证环节因“未定义索引（file_up）”判定文件字段为空，触发错误。

错误根源 #

• 字段验证逻辑错误：将文件上传字段file_up纳入$_POST的必填校验，但文件上传数据存储在$_FILES全局数组而非$_POST，导致验证时触发“未定义索引”错误。
• 变量索引错误：$book_title获取时使用了带空格的索引$_POST['book_title ']，无法正确读取表单值。
• 逻辑顺序错误：文件上传成功后直接return，跳过了数据库插入步骤，导致数据无法写入。
• 文件校验缺失：仅检查$_FILES['file_up']是否为空，未验证上传是否成功（如错误码、文件合法性等）。
• SQL注入风险：直接拼接SQL语句，存在安全隐患。

修复步骤 #

1. 修正字段验证逻辑 #

拆分必填字段校验，文本字段校验$_POST，文件字段单独校验$_FILES的上传状态：

$req_fields = array('book_title');
validate_fields($req_fields);

// 单独校验文件上传是否成功
if ($_FILES['file_up']['error'] !== UPLOAD_ERR_OK) {
    $errors[] = '文件上传失败';
}

2. 修正变量索引错误 #

去掉book_title索引中的空格，确保正确获取表单值：

$book_title = $_POST['book_title'] ?? null;

3. 调整代码执行顺序 #

文件上传成功后先设置存储路径，再执行数据库插入，避免提前return跳过核心写入逻辑。

4. 完善文件上传校验 #

增加上传错误码、文件类型和大小的校验（按需添加）：

// 检查上传是否成功
if ($_FILES['file_up']['error'] !== UPLOAD_ERR_OK) {
    echo "文件上传错误，错误码：" . $_FILES['file_up']['error'];
    return header('Location: page.php');
}

// 校验文件类型（仅允许图片）
$allowed_types = array('image/jpeg', 'image/png', 'image/gif');
if (!in_array($_FILES['file_up']['type'], $allowed_types)) {
    echo "仅允许上传图片文件";
    return header('Location: page.php');
}

// 校验文件大小（限制2MB）
if ($_FILES['file_up']['size'] > 2 * 1024 * 1024) {
    echo "文件大小不能超过2MB";
    return header('Location: page.php');
}

5. 修复SQL注入风险 #

使用预处理语句执行查询和插入操作：

// 检查数据是否已存在
$stmt = $db->prepare("SELECT `id` FROM `books` WHERE `book_title` = ? OR `file_up` = ? LIMIT 1");
$stmt->bind_param("ss", $book_title, $file_up_path);
$stmt->execute();
$result = $stmt->get_result();

// 插入数据到数据库
$stmt = $db->prepare("INSERT INTO `books` (`book_title`, `file_up`) VALUES (?, ?)");
$stmt->bind_param("ss", $book_title, $file_up_path);
if ($stmt->execute()) {
    echo "successfully added";
} else {
    echo "failed to add: " . $db->error;
}

完整修复后的upload.php代码 #

<?php
if (isset($_POST['add_book'])) {
    $errors = [];
    $req_fields = array('book_title');
    validate_fields($req_fields);

    // 校验文件上传状态
    if ($_FILES['file_up']['error'] !== UPLOAD_ERR_OK) {
        $errors[] = '文件上传失败';
    }

    if (empty($errors)) {
        $book_title = $_POST['book_title'] ?? null;
        $file_tmp = $_FILES['file_up']['tmp_name'];
        $file_name = $_FILES['file_up']['name'];
        $file_up_path = "files/" . $file_name;

        // 检查数据是否已存在
        $stmt = $db->prepare("SELECT `id` FROM `books` WHERE `book_title` = ? OR `file_up` = ? LIMIT 1");
        $stmt->bind_param("ss", $book_title, $file_up_path);
        $stmt->execute();
        $result = $stmt->get_result();

        if ($result && $result->num_rows > 0) {
            echo "error already exists";
            return header('Location: page.php');
        }

        // 执行文件上传
        if (move_uploaded_file($file_tmp, $file_up_path)) {
            // 插入数据到数据库
            $stmt = $db->prepare("INSERT INTO `books` (`book_title`, `file_up`) VALUES (?, ?)");
            $stmt->bind_param("ss", $book_title, $file_up_path);
            
            if ($stmt->execute()) {
                echo "successfully added";
            } else {
                echo "failed to add: " . $db->error;
            }
        } else {
            echo "failed to upload file";
        }
        return header('Location: page.php');
    } else {
        echo implode('<br>', $errors);
        return header('Location: page.php');
    }
}
?>

注：HTML表单代码无需修改，保持原有的enctype="multipart/form-data"属性即可，这是文件上传的必要条件。

内容的提问来源于stack exchange，提问作者Nader Hussein