使用PHP和MySQL的网站图片上传失败，附代码求排查解决

核心故障原因 #

• move_uploaded_file参数完全错误：
  • 第一个参数应传入上传文件的临时路径$_FILES['images']['tmp_name']，代码中误用了原始文件名$image_name
  • 第二个参数要求是服务器本地文件系统路径，代码错误拼接了location:和网站URL（这是HTTP跳转格式，并非本地路径）
• 未检查文件上传错误状态：没有处理$_FILES['images']['error']字段，无法定位上传时的具体问题（如文件过大、临时目录不可写、上传中断等）
• 目标目录权限不足：服务器上images/category/目录可能未配置写入权限，导致文件无法保存
• 缺少文件安全校验：未验证文件类型、大小，也未处理文件名重复问题，存在安全风险和数据覆盖隐患

对应解决办法 #

1. 修正move_uploaded_file参数：

   • 第一个参数使用临时文件路径$image_path（即$_FILES['images']['tmp_name']）
   • 第二个参数使用服务器本地绝对/相对路径，推荐用dirname(__FILE__)拼接绝对路径，避免相对路径出错

2. 添加文件上传错误检查：

   • 获取文件信息后，先判断$_FILES['images']['error']是否等于UPLOAD_ERR_OK，若不为0则输出对应错误信息

3. 确保目标目录权限正确：

   • 将服务器上images/category/目录权限设置为755（或根据服务器配置调整为可写入）
   • 若目录不存在，通过mkdir()函数自动创建

4. 完善文件安全与命名处理：

   • 验证文件MIME类型或后缀，仅允许jpg、png、jpeg等图片格式
   • 为文件名添加时间戳/随机字符串，避免重名覆盖
   • 限制文件大小，防止超大文件上传

修正后的完整代码 #

<?php
if (isset($_POST['submit'])) {
    $title = $_POST['title'];
    $image_name = "";

    if (isset($_FILES['images']['name']) && $_FILES['images']['error'] == UPLOAD_ERR_OK) {
        $original_name = $_FILES['images']['name'];
        $image_tmp = $_FILES['images']['tmp_name'];
        
        // 处理文件名，添加时间戳避免重名
        $ext = pathinfo($original_name, PATHINFO_EXTENSION);
        $image_name = "category_" . time() . "." . $ext;
        
        // 定义服务器本地目标路径（使用绝对路径更可靠）
        $target_dir = dirname(__FILE__) . '/../images/category/';
        // 确保目标目录存在，不存在则递归创建
        if (!is_dir($target_dir)) {
            mkdir($target_dir, 0755, true);
        }
        $destination_path = $target_dir . $image_name;
        
        // 执行文件移动
        $upload = move_uploaded_file($image_tmp, $destination_path);
        
        if (!$upload) {
            $_SESSION['upload_image_category'] = "<div class='error'>图片上传失败，请检查目录权限或文件大小</div>";
            header('location:' . SITEURL . 'admin/add-category.php');
            die();
        }
    }

    $feature = isset($_POST['featureyon']) ? $_POST['featureyon'] : "No";
    $active = isset($_POST['a_yes']) ? $_POST['a_yes'] : "No";
    
    // 注意：原代码存在SQL注入风险，建议使用mysqli预编译语句替换以下代码
    $sql = "INSERT INTO tbl_category SET 
        title = '$title',
        image_name='$image_name', 
        featured='$feature', 
        active='$active'
    ";
    $res = mysqli_query($conn, $sql);
    
    if ($res) {
        $_SESSION['add_category'] = "<div class='success'>新分类添加成功</div>";
        header('location:' . SITEURL . 'admin/manage_category.php');
    } else {
        $_SESSION['add_category'] = "<div class='error'>新分类添加失败</div>";
        header('location:' . SITEURL . 'admin/add-category.php');
    }
}
?>

额外注意事项 #

• SQL注入风险：原代码直接将POST参数拼接到SQL语句中，存在严重安全隐患，建议使用mysqli预编译语句或PDO处理数据库操作
• php.ini配置检查：确保upload_max_filesize、post_max_size等参数设置合理，避免因文件大小限制导致上传失败

内容的提问来源于stack exchange，提问作者Mohamed Abdiaziz