在WordPress中忽略$_FILES['tmp_name']的PHPCS sanitization警告是否安全？

首先直接给结论：你的PHPCS忽略注释是完全合理且安全的，下面分点解答你的所有疑问：

• 这个忽略是否合理，有没有隐藏风险？
  完全合理。$_FILES['tmp_name'] 是PHP运行时自动生成的临时文件路径，并非用户直接提交的输入内容——用户没办法通过表单或其他方式篡改这个值。PHP会在文件成功上传到服务器临时目录后自动填充这个字段，它的格式和内容完全由PHP环境控制，不存在用户注入恶意字符串的可能。
  而且你用它配合move_uploaded_file()是最安全的方式：这个函数本身会做一层关键验证，确保你操作的确实是通过HTTP POST上传的临时文件，而非服务器上的其他任意文件，从根源上避免了本地文件包含类的风险。
  至于你提到的 sanitize 会破坏上传功能，这太正常了——tmp_name是指向临时文件的精确路径，任何修改（比如转义、截断）都会导致系统找不到对应的临时文件，上传自然就失败了，所以绝对不能对这个字段做 sanitize 操作。

• WordPress核心有没有相关实践？
  WordPress核心在处理文件上传时，也是直接使用$_FILES['tmp_name']的，完全没有额外的 sanitize 操作。比如核心的wp_handle_upload()函数（这是WordPress处理上传的核心函数）内部，就是直接读取这个值来移动临时文件的，核心开发团队显然也认定这个字段是安全的，不需要额外处理。

• 有没有可能通过临时目录路径被控制来实现路径遍历？
  基本不可能。临时目录的路径是由PHP的配置项（比如upload_tmp_dir）决定的，攻击者除非能修改你的PHP配置或者服务器的系统配置，否则根本无法控制这个路径。而且move_uploaded_file()本身有严格的安全校验，就算有人恶意构造了一个路径，这个函数也不会允许你操作非上传生成的临时文件，所以路径遍历的风险在这里是不存在的。

总结一下：你完全可以放心保留这个PHPCS忽略注释，不要对$_FILES['tmp_name']做任何 sanitize 操作，这是处理文件上传的正确姿势。

内容来源于stack exchange