WordPress插件开发：多图片上传至服务器指定文件夹技术问询

嘿，我来帮你把这个多文件上传功能补全，而且完全贴合WordPress插件的开发规范，避免踩安全和兼容性的坑！

首先先给你的表单做个小优化，加上WordPress必备的nonce验证（防止CSRF攻击），同时限制只允许上传图片，进一步提升安全性：

<form method="post" enctype="multipart/form-data">
    <?php wp_nonce_field('multi_file_upload_action', 'multi_file_upload_nonce'); ?>
    <input type="file" name="my_file[]" multiple="multiple" accept="image/*">
    <input type="submit" value="Upload" name="submit_multi_upload">
</form>

接下来是完整的PHP处理逻辑，我会把你没写完的循环补全，同时用WordPress原生函数来处理上传，避开直接操作文件系统的风险：

// 检查提交动作、nonce有效性，以及是否有文件上传
if (isset($_POST['submit_multi_upload']) && wp_verify_nonce($_POST['multi_file_upload_nonce'], 'multi_file_upload_action') && isset($_FILES['my_file'])) {
    $my_files = $_FILES['my_file'];
    $file_count = count($my_files['name']);
    
    // 定义你要上传到的指定子文件夹（基于WordPress默认上传目录）
    $target_subfolder = 'my-plugin-custom-images/';
    $upload_dir = wp_upload_dir();
    $target_dir = $upload_dir['basedir'] . '/' . $target_subfolder;
    
    // 如果目标文件夹不存在，自动创建并设置合规权限
    if (!file_exists($target_dir)) {
        wp_mkdir_p($target_dir);
        chmod($target_dir, 0755); // WordPress推荐的文件夹权限
    }

    // 遍历处理每个上传的文件
    for ($i = 0; $i < $file_count; $i++) {
        // 跳过上传出错的文件（比如用户没选满多个文件的情况）
        if ($my_files['error'][$i] !== UPLOAD_ERR_OK) {
            continue;
        }

        // 整理单个文件的参数，适配WordPress上传函数的格式
        $single_file = array(
            'name'     => $my_files['name'][$i],
            'type'     => $my_files['type'][$i],
            'tmp_name' => $my_files['tmp_name'][$i],
            'error'    => $my_files['error'][$i],
            'size'     => $my_files['size'][$i]
        );

        // 验证文件类型：只允许常见图片格式
        $allowed_types = array('image/jpeg', 'image/png', 'image/gif', 'image/webp');
        if (!in_array($single_file['type'], $allowed_types)) {
            echo '<div class="notice notice-error">文件 ' . esc_html($single_file['name']) . ' 不是允许的图片类型！</div>';
            continue;
        }

        // 自定义上传路径，覆盖WordPress默认的上传目录
        $upload_overrides = array(
            'test_form' => false, // 跳过WordPress默认表单验证（我们自己已做安全校验）
            'upload_dir' => $target_dir
        );

        // 使用WordPress原生函数处理上传，兼容性更强
        $upload_result = wp_handle_upload($single_file, $upload_overrides);

        if ($upload_result && !isset($upload_result['error'])) {
            // 上传成功后，可以在这里把文件信息存入数据库或做其他逻辑
            echo '<div class="notice notice-success">文件 ' . esc_html(basename($upload_result['file'])) . ' 上传成功！</div>';
        } else {
            // 上传失败时输出清晰的错误信息
            echo '<div class="notice notice-error">文件 ' . esc_html($single_file['name']) . ' 上传失败：' . esc_html($upload_result['error']) . '</div>';
        }
    }
}

几个关键提醒： #

• 安全优先：所有输出内容用esc_html()转义，防止XSS攻击；严格限制文件类型，避免恶意文件上传。
• 遵循WordPress规范：尽量使用wp_handle_upload、wp_upload_dir这类原生函数，而非直接用move_uploaded_file，能适配不同服务器和WordPress配置。
• 权限问题：确保目标文件夹权限为0755，避免服务器权限不足导致上传失败。
• 错误处理：每个文件单独处理错误，用户能清楚知道哪些文件成功、哪些失败。

内容的提问来源于stack exchange，提问作者Totally Tech IT