PHP实现文件上传与下载：从原理到面向对象封装

上传原理与基础配置

文件上传的本质是将客户端文件暂存至服务器临时目录，随后将其移动或复制到指定持久化目录。若跳过临时阶段直接写入目标路径，可能绕过部分安全机制或导致权限问题。

第1步：配置客户端上传表单

目的：建立支持二进制数据传输的HTTP请求入口。

• 请求方法：必须使用 POST，因为GET请求有长度限制且无法携带Body数据。
• 编码类型：必须设置 enctype="multipart/form-data"，否则文件数据将以普通键值对传输，导致丢失。
• 输入控件：<input type="file" name="myFile" /> 将触发本地选择器，后端通过 name 属性接收数据。

<form action="doAction.php" method="post" enctype="multipart/form-data">
    <input type="file" name="myFile" />
    <input type="submit" value="上传"/>
</form>

第2步：解析服务器端 $_FILES 变量

目的：获取上传文件的元数据及临时路径。

PHP会自动填充 $_FILES 超全局数组。以 name="myFile" 为例，其结构如下：

// 二维数组结构示例
["myFile"] => [
    "name"     => "filename.jpg",      // 原始文件名
    "type"     => "image/jpeg",        // MIME类型
    "tmp_name" => "/tmp/phpXXXXXX",   // 服务器临时路径
    "error"    => 0,                   // 状态码
    "size"     => 1024                 // 文件大小（字节）
]

第3步：执行文件存储操作

目的：将文件从临时区迁移至永久存储区。

推荐使用 move_uploaded_file() 而非 copy()。前者不仅复制文件，还会删除源临时文件，且具备内置的安全检查，确保该文件是通过HTTP POST上传的合法文件，防止路径遍历攻击。

$tmp_name = $_FILES['myFile']['tmp_name'];
$destination = 'uploads/' . $_FILES['myFile']['name'];

if(move_uploaded_file($tmp_name, $destination)){
    echo "上传成功";
}

服务器端安全限制与校验

仅依靠前端 accept 或 MAX_FILE_SIZE 无法保证安全，必须在服务端进行严格校验。

php.ini 关键配置

在排查“上传失败”问题时，首先检查以下INI参数：

• file_uploads = On：开启上传功能。
• upload_max_filesize = 2M：单次上传最大文件。
• post_max_size = 8M：POST请求体最大容量（需大于前者）。
• max_file_uploads = 20：单次请求允许的最大文件数量。

核心校验逻辑封装

一个健壮的上传类应包含以下校验步骤：

1. 错误码检查：$error === UPLOAD_ERR_OK（值为0）。常见非零值包括：超过ini限制(1)、超过表单限制(2)、仅部分上传(3)、无文件上传(4)。
2. 大小校验：对比 $fileInfo['size'] 与预设阈值。
3. 扩展名校验：提取后缀并加入白名单（如 jpg, png, gif），禁止 php, sh, exe 等危险后缀。
4. MIME类型校验：检查 $fileInfo['type']，但需注意伪造风险。
5. 真实性校验：对于图片，使用 getimagesize() 验证文件头信息，防止伪装成图片的后门脚本。
6. 来源校验：使用 is_uploaded_file() 确认文件确由HTTP POST产生。

唯一文件名生成

为避免覆盖同名文件或产生路径冲突，建议重命名。结合时间戳与随机数生成唯一标识：

$uniName = md5(uniqid(microtime(true), true));
$finalPath = $path . '/' . $uniName . '.' . $ext;

多文件上传处理策略

当用户选择多个文件或页面存在多个上传框时，数据结构会发生变化。

HTML结构变化

独立Input： <input name="file1">, <input name="file2">。后端遍历 $_FILES 即可，但若中间某次 exit，后续文件将中断。

数组Input： <input name="files[]" multiple>。后端收到的 $_FILES['files'] 变为三维数组，所有同名文件的属性被分组聚合。

数据处理流程

为了统一处理单文件和多文件，可先将多维数组降维为标准的一维文件对象列表：

function getFilesList() {
    // ...遍历逻辑，将 ['files']['name'][0] 转换为标准的 fileInfo 数组
    // 返回标准格式的数组列表
}

面向对象封装 (OOP)

将上述逻辑封装为类，便于复用和维护。

类设计要点

• 构造函数：初始化上传路径、允许的类型/后缀、最大体积等私有属性。
• 校验链：将 checkError, checkSize, checkExt 等方法私有化，并在主方法中顺序调用。
• 错误处理：不直接使用 die，而是记录错误信息到属性中，由调用者决定如何展示，提高灵活性。

核心方法实现

class Uploader {
    private $info;
    private $dest;
    private $error;

    public function __construct($fileInfo) {
        $this->info = $fileInfo;
    }

    public function upload($targetDir, $allowedExts = ['jpg','png']) {
        if ($this->checkError() !== true) return false;
        if ($this->checkSize() !== true) return false;
        if ($this->checkExt($allowedExts) !== true) return false;
        if ($this->checkMime() !== true) return false;
        
        if (!@move_uploaded_file($this->info['tmp_name'], $this->dest)) {
            $this->error = '移动失败';
            return false;
        }
        return $this->dest;
    }
    // ... 其他私有校验方法

文件下载实现方案

浏览器通常能直接预览 .jpg, .pdf 等格式。若需强制下载（如触发保存对话框），需修改HTTP响应头。

关键技术点

使用 header() 发送以下指令：

1. Content-Type：设置通用的 application/octet-stream，告诉浏览器这是二进制流。
2. Content-Disposition：设置为 attachment; filename="..."，指示浏览器以附件形式打开。
3. Content-Length：指定文件大小，有助于进度条显示和断点续传。

代码示例

$filename = basename($_GET['filename']);
$path = './uploads/' . $filename;

if(file_exists($path)) {
    header('Content-Description: File Transfer');
    header('Content-Type: application/octet-stream');
    header('Content-Disposition: attachment; filename='.basename($path));
    header('Expires: 0');
    header('Cache-Control: must-revalidate');
    header('Pragma: public');
    header('Content-Length: ' . filesize($path));
    
    readfile($path);
    exit;
}

以上就是PHP文件上传与下载的详细内容，更多关于PHP高级开发技巧的资料请关注本站其它相关文章！