PHP上传文件名特殊字符的编码机制及相关技术问题咨询

上传文件名中的特殊字符采用何种编码？

最小示例： #

<?php
    foreach ($_FILES as $f) {
        header('Content-Type: text/plain');
        die("Original filename of uploaded file: " . $f['name']);
    }
?>
<form method=POST enctype="multipart/form-data">
    <input type=file name=f>
    <input type=submit>
</form>

文件名转换规则： #

• test space保持不变
• quote" space转换为quote%22 space（Firefox下载时会静默丢弃%22或原始引号，保存为quote space）
• 换行符（如new\nline，其中\n为实际ASCII换行符）转换为new%0Aline（Firefox下载时保留%0A，保存为new%0Aline）
• 字面反斜杠前的内容会被移除，甚至可能导致文件名为空

已查阅PHP相关文档，包括文件上传POST方法、$_FILES变量、文件上传特性相关文档，文档中未提及文件名的编码处理，且服务器未启用PHP的magic quotes设置。

咨询的技术问题： #

1. 当前采用的是何种编码方式？
2. 该编码是否旨在使文件名安全用于Content-Disposition: attachment; filename="VALUE"？
3. 如何获取原始文件名，以便手动（显式）应用编码？

1. 当前采用的编码方式
   这是URL编码（百分号编码）的非标准化子集，仅对引号、换行符等部分特殊字符进行转义，但处理逻辑存在明显不一致：空格未按标准URL编码转成%20，反斜杠则直接截断内容而非转义，属于PHP底层针对上传文件名的简易安全处理逻辑。

2. 是否为Content-Disposition安全设计
   不是。这种编码逻辑不符合Content-Disposition头的规范：

• 标准中filename参数的特殊字符处理需遵循RFC 5987规范，使用filename*参数结合UTF-8编码来传输特殊字符；
• 当前处理后的文件名在浏览器中会出现解析异常（如Firefox丢弃引号转义符），说明其并非针对下载头的安全传输设计，更可能是PHP早期版本为规避文件系统风险做的简易处理。

3. 获取原始文件名的方法
   PHP接收上传文件时会自动处理文件名，无法直接从$_FILES获取未编码的原始值，需通过以下方式绕过自动处理：

• 直接解析原始请求体：读取php://input流，自行解析multipart/form-data格式的内容，从中提取未处理的文件名；
• 使用第三方组件：借助专业的HTTP请求处理库（如Symfony HttpFoundation），这类组件提供了更底层的请求解析能力，可直接获取原始文件名。

注意：自行处理原始请求时必须严格校验文件名，避免路径遍历、注入等安全风险。

内容的提问来源于stack exchange，提问作者Luc