PHP中move_uploaded_file()结合$_POST上传文件功能异常问题咨询

需求可行性 #

该需求完全可以实现，现有代码存在多处核心逻辑错误，对应修改后即可正常运行。

现有代码存在的问题 #

• 核心逻辑错误：通过POST上传的文件不会被存储到$_POST超全局变量中，只会保存在$_FILES变量内，原代码中判断isset($_POST['File'])、从$_POST['File']读取文件后缀的逻辑完全不成立
• move_uploaded_file参数错误：该函数第一个参数必须传入服务端生成的临时文件路径$_FILES['File']['tmp_name']，原代码传入客户端本地文件名无法被系统识别
• 目标路径不完整：移动文件的目标路径必须包含完整的文件名，仅填写目录路径会直接导致移动失败
• 缺少基础校验：没有判断文件上传状态，无法识别上传失败的各类异常场景

修复步骤 #

1. 前端表单调整 #

注意：前端提交文件的表单必须设置enctype="multipart/form-data"属性，否则文件无法正常上传，表单示例如下：

<form method="post" enctype="multipart/form-data">
    <input type="text" name="Descrizione" required>
    <input type="text" name="ID" required>
    <input type="file" name="File" accept=".gif" required>
    <button type="submit">提交上传</button>
</form>

2. 后端PHP代码修改 #

if(isset($_POST['Descrizione'], $_POST['ID'], $_FILES['File'])) {
    // 校验上传是否正常完成
    if ($_FILES['File']['error'] !== UPLOAD_ERR_OK) {
        die('上传失败，错误码：' . $_FILES['File']['error']);
    }

    // 校验文件后缀，转为小写避免大小写绕过
    $ext = pathinfo($_FILES['File']['name'], PATHINFO_EXTENSION);
    if(strtolower($ext) !== 'gif') {
        die('仅允许上传GIF格式文件');
    }

    // 可选新增MIME类型校验，防止恶意修改后缀上传非法文件
    $finfo = new Finfo(FILEINFO_MIME_TYPE);
    $mime = $finfo->file($_FILES['File']['tmp_name']);
    if ($mime !== 'image/gif') {
        die('文件类型非法');
    }

    // 生成唯一存储文件名，避免重名覆盖、路径穿越风险
    $saveFileName = time() . '_' . uniqid() . '.gif';
    // 拼接完整存储路径，注意确认目标目录存在且有写入权限
    $saveFullPath = "/ms-swf/c_images/album1584/" . $saveFileName;

    // 执行移动文件操作
    if(move_uploaded_file($_FILES['File']['tmp_name'], $saveFullPath)) {
        echo '上传成功，文件存储路径：' . $saveFullPath;
    } else {
        echo '文件移动失败，请检查目标目录权限';
    }
}

额外注意事项 #

• 请提前确认目标存储目录/ms-swf/c_images/album1584/存在，且对PHP运行用户（常见为www-data、apache等）开放写入权限
• 生产环境建议额外限制上传文件大小，避免占用过多存储空间
• 禁止直接使用用户上传的原文件名作为存储文件名，避免路径穿越、重名覆盖等安全问题

内容的提问来源于stack exchange，提问作者LORENZO ALINOVI