PHP多文件上传功能失效问题排查求助

先直接拆解核心问题，再给出针对性的修复方案：

一、导致上传逻辑被跳过的核心原因 #

1. 表单文件输入的语法错误 #

你的文件选择input标签存在语法问题：

<input type="file" name="images[] multiple">

这里的multiple属性没有和name属性正确分隔，浏览器无法识别这是一个支持多文件上传的控件，导致上传时$_FILES['images']的结构完全不符合预期，甚至可能根本没有传递任何文件数据——这是上传逻辑被跳过的最直接原因。

2. 文件计数与判断的顺序错误 #

你在判断isset($_FILES['images'])之前就执行了$countfiles = count($_FILES['images']['tmp_name']);，如果没有文件上传，这行代码会直接抛出错误（因为$_FILES['images']不存在），后续的上传逻辑自然无法执行。

3. 缺少文件上传的错误校验 #

代码里没有检查文件是否上传成功（比如$_FILES['images']['error'][$i]是否为UPLOAD_ERR_OK），如果文件因为大小限制、服务器权限问题等上传失败，move_uploaded_file会直接静默失败，容易让你误以为逻辑被跳过。

4. 额外风险：SQL注入 #

当前代码直接将用户输入和文件路径拼接到SQL语句中，存在严重的SQL注入风险，这在生产环境中是绝对不能忽视的问题。

二、具体修改建议 #

1. 修复表单文件输入标签 #

把input标签改成正确格式，确保浏览器能识别多文件上传：

<input type="file" name="images[]" multiple>

注意name="images[]"和multiple之间要有空格，[]是必须的，用来告诉PHP这是一个多文件数组。

2. 重构PHP的文件上传逻辑 #

调整代码顺序、增加错误校验，同时修复计数逻辑，还加入了SQL预处理来避免注入：

// 先插入笔记（后续建议也改成预处理语句）
$note_query = "INSERT INTO Notes(NOTS_ID, NOTS_V_USRS, NOTS_V_ORGS, NOTS_A_TITLE, NOTS_A_TEXT, NOTS_C_TAGS, NOTS_V_CTRY, NOTS_T_FROM, NOTS_T_UNTIL) VALUES ('0', '" . $usr_id['USRS_ID'] . "','" . $organisation . "', '" . $note_title . "', '" . $note_text . "', '0', '" . $country . "', '" . $fromdate . "', '" . $untildate . "');";
$conn->query($note_query) or die($conn->error());
$lastid = $conn->insert_id;
$imagedata = array();

// 重构文件上传逻辑
if (isset($_FILES['images']) && is_array($_FILES['images']['tmp_name'])) {
    $countfiles = count($_FILES['images']['tmp_name']);
    $desired_dir = "./uploads/imgs/";
    
    // 确保上传目录存在，不存在则创建
    if (!is_dir($desired_dir)) {
        mkdir($desired_dir, 0755, true);
    }
    
    for($i=0; $i < $countfiles; $i++){
        // 检查当前文件是否上传成功
        if ($_FILES['images']['error'][$i] !== UPLOAD_ERR_OK) {
            echo "文件 " . $_FILES['images']['name'][$i] . " 上传失败，错误码：" . $_FILES['images']['error'][$i];
            continue;
        }
        
        $file_name = $_FILES['images']['name'][$i];
        $file_tmp = $_FILES['images']['tmp_name'][$i];
        
        // 生成唯一文件名，避免重名覆盖
        $file_ext = pathinfo($file_name, PATHINFO_EXTENSION);
        $unique_file_name = uniqid() . "." . $file_ext;
        
        // 移动文件到目标目录
        if (move_uploaded_file($file_tmp, $desired_dir . $unique_file_name)) {
            array_push($imagedata, $unique_file_name);
            
            // 使用预处理语句插入图片数据，彻底避免SQL注入
            $img_query = "INSERT INTO Images(IMGS_ID, IMGS_V_USRS, IMGS_T_NAME, IMGS_V_NOTS) VALUES (?, ?, ?, ?);";
            $stmt = $conn->prepare($img_query);
            $stmt->bind_param("isis", $img_id, $usr_id['USRS_ID'], $desired_dir . $unique_file_name, $lastid);
            $img_id = 0;
            $stmt->execute();
            $stmt->close();
        } else {
            echo "文件 " . $file_name . " 移动失败，请检查目录权限";
        }
    }
}

3. 额外优化点 #

• 目录权限检查：确保./uploads/imgs/目录有可写权限（建议设置为755），否则move_uploaded_file会失败。
• 错误日志记录：可以把上传失败的信息记录到服务器日志文件，而不是直接echo，更适合生产环境排查问题。
• 笔记插入的预处理改造：笔记插入部分也建议改用预处理语句，统一避免SQL注入风险。

内容的提问来源于stack exchange，提问作者Dries Claes