PHP文件上传的实现与安全防范

在Web开发中，文件上传是一个常见的功能，通过文件上传，用户可以将本地的文件上传到服务器上，从而实现文件的存储和分享，PHP作为一种广泛使用的服务器端脚本语言，提供了丰富的文件上传功能，本文将介绍如何使用PHP实现文件上传，并讨论如何防范潜在的安全问题。

一、PHP文件上传的基本实现

PHP提供了两个内置的文件上传函数：move_uploaded_file()和$_FILES超全局变量，这两个函数可以帮助我们实现文件的上传、移动和获取文件信息。

1、使用move_uploaded_file()函数实现文件上传

move_uploaded_file()函数用于将上传的文件移动到新的位置，函数原型如下：

bool move_uploaded_file ( string $filename , string $destination )

参数说明：

- $filename：上传文件的临时文件名，由$_FILES超全局变量提供。

- $destination：目标路径，即要将文件移动到的位置。

示例代码：

<?php
if ($_SERVER['REQUEST_METHOD'] == 'POST') {
    if (!empty($_FILES['file']['tmp_name'])) {
        $target_dir = "uploads/";
        $target_file = $target_dir . basename($_FILES["file"]["name"]);
        $uploadOk = 1;
        $imageFileType = strtolower(pathinfo($target_file,PATHINFO_EXTENSION));
        // Check if image file is a actual image or fake image
        if(isset($_POST["submit"])) {
            $check = getimagesize($_FILES["file"]["tmp_name"]);
            if($check !== false) {
                echo "File is an image - " . $check["mime"] . ".";
                $uploadOk = 1;
            } else {
                echo "File is not an image.";
                $uploadOk = 0;
            }
        }
        // Check if file already exists
        if (file_exists($target_file)) {
            echo "Sorry, file already exists.";
            $uploadOk = 0;
        }
        // Check file size
        if ($_FILES["file"]["size"] > 500000) {
            echo "Sorry, your file is too large.";
            $uploadOk = 0;
        }
        // Allow certain file formats
        if($imageFileType != "jpg" && $imageFileType != "png" && $imageFileType != "jpeg"
        && $imageFileType != "gif" ) {
            echo "Sorry, only JPG, JPEG, PNG & GIF files are allowed.";
            $uploadOk = 0;
        }
        // Check if $uploadOk is set to 0 by an error
        if ($uploadOk == 0) {
            echo "Sorry, your file was not uploaded.";
        // if everything is ok, try to upload file
        } else {
            if (move_uploaded_file($_FILES["file"]["tmp_name"], $target_file)) {
                echo "The file ". htmlspecialchars( basename( $_FILES["file"]["name"])). " has been uploaded.";
            } else {
                echo "Sorry, there was an error uploading your file.";
            }
        }
    } else {
        echo "No file uploaded.";
    }
} else {
    echo "Invalid request method. Only POST is allowed.";
}
?>

2、使用$_FILES超全局变量获取文件信息

$_FILES超全局变量是一个关联数组，包含了所有通过HTTP上传的文件的信息，通过这个数组，我们可以获取文件的名称、类型、大小等信息。

<?php
if ($_SERVER['REQUEST_METHOD'] == 'POST') {
    if (!empty($_FILES['file']['tmp_name'])) {
        $fileName = basename($_FILES["file"]["name"]); // 获取文件名（不包括路径）
        $fileType = pathinfo($fileName,PATHINFO_EXTENSION); // 获取文件类型（扩展名）
        $fileSize = $_FILES["file"]["size"]; // 获取文件大小（字节）
    } else {
        echo "No file uploaded.";
    }
} else {
    echo "Invalid request method. Only POST is allowed.";
}
?>