本教程详细指导如何在php应用中实现文件上传功能，包括前端html表单的正确配置、后端php脚本处理上传文件（使用`$_files`超级全局变量和`move_uploaded_file`函数），以及将文件路径存储到mysql数据库，并最终在网页上展示图片。文章强调了文件上传过程中的安全实践和最佳方法，确保文件能够安全、高效地上传并管理。
PHP文件上传与管理：完整教程
在Web开发中，文件上传是一个常见且重要的功能，例如用户头像上传、文档共享等。本教程将详细介绍如何通过PHP实现文件上传，并将其存储到服务器指定目录，同时将文件路径记录到数据库中，最终实现在网页上展示这些上传的图片。
1. 前端表单配置
文件上传首先需要一个HTML表单。关键在于表单的enctype属性必须设置为multipart/form-data，这是浏览器告知服务器将表单数据编码为二进制格式，以便包含文件内容。
说明：
action=”upload_handler.php”：指定表单提交后处理数据的PHP脚本。method=”POST”：文件上传必须使用POST方法。enctype=”multipart/form-data”：这是文件上传的核心，必不可少。name=”foto”：这是在后端PHP脚本中通过$_FILES超级全局变量访问上传文件时使用的名称。accept=”image/*”：这是一个客户端提示，建议用户只选择图片文件。
2. 后端文件处理（PHP）
在服务器端，PHP使用$_FILES超级全局变量来处理上传的文件，而不是$_POST。$_FILES是一个关联数组，包含了上传文件的详细信息。
立即学习“PHP免费学习笔记（深入）”；
2.1 访问上传文件信息
当表单提交后，在upload_handler.php脚本中，可以通过$_FILES[‘foto’]访问到上传文件的相关数据：
<?php// 检查是否有文件上传if (isset($_FILES['foto']) && $_FILES['foto']['error'] === UPLOAD_ERR_OK) { // 获取文件信息 $fileName = $_FILES['foto']['name']; // 原始文件名 $fileTmpName = $_FILES['foto']['tmp_name']; // 文件在服务器上的临时存储路径 $fileSize = $_FILES['foto']['size']; // 文件大小（字节） $fileType = $_FILES['foto']['type']; // 文件MIME类型 $fileError = $_FILES['foto']['error']; // 错误代码 echo "文件名: " . $fileName . "
"; echo "临时路径: " . $fileTmpName . "
"; echo "文件大小: " . $fileSize . " 字节
"; echo "文件类型: " . $fileType . "
"; echo "错误代码: " . $fileError . "
"; // ... 后续处理 ...} else { echo "文件上传失败或未选择文件。
"; // 根据 $fileError 进行更详细的错误处理 // UPLOAD_ERR_INI_SIZE, UPLOAD_ERR_FORM_SIZE, UPLOAD_ERR_PARTIAL, UPLOAD_ERR_NO_FILE 等}?>
$_FILES数组的关键元素：
name: 客户端机器上的文件原名称。type: 文件的 MIME 类型，如果浏览器提供该信息的话。size: 已上传文件的大小，单位为字节。tmp_name: 文件被上传后在服务器端存储的临时文件名。error: 和该文件上传相关的错误代码。UPLOAD_ERR_OK表示没有错误。
2.2 移动上传文件到目标目录
上传的文件最初存储在服务器的临时目录中。为了永久保存，需要使用move_uploaded_file()函数将其从临时位置移动到我们指定的服务器目录。
<?php// ... (前面获取文件信息的代码) ...if (isset($_FILES['foto']) && $_FILES['foto']['error'] === UPLOAD_ERR_OK) { $fileName = $_FILES['foto']['name']; $fileTmpName = $_FILES['foto']['tmp_name']; // 定义目标目录，例如 C:xampphtdocsea // 假设你的PHP脚本在 C:xampphtdocsyour_projectupload_handler.php // 那么目标目录相对路径可以是 ../ea/ // 推荐使用绝对路径或基于Web根目录的相对路径 $uploadDir = "C:/xampp/htdocs/ea/"; // 示例绝对路径 // 或者，如果你的脚本在 htdocs/your_project 目录下，想上传到 htdocs/ea // $uploadDir = "../ea/"; // 相对路径，注意脚本位置 // 确保目标目录存在且可写 if (!is_dir($uploadDir)) { mkdir($uploadDir, 0777, true); // 尝试创建目录，并赋予写权限 } $destination = $uploadDir . basename($fileName); // 使用 basename() 防止路径遍历攻击 // 检查文件是否是通过 HTTP POST 上传的 if (is_uploaded_file($fileTmpName)) { if (move_uploaded_file($fileTmpName, $destination)) { echo "文件 " . htmlspecialchars($fileName) . " 已成功上传到 " . htmlspecialchars($destination) . "
"; // 文件上传成功后，将 $destination 或相对路径存储到数据库 $filePathForDB = "ea/" . basename($fileName); // 存储到数据库的路径，通常是Web可访问的相对路径 } else { echo "移动文件失败。
"; } } else { echo "非法文件上传尝试。
"; }} else { echo "文件上传失败或未选择文件。
";}?>
关键点：
$uploadDir: 指定文件要上传到的服务器目录。请确保该目录对Web服务器用户（如Apache或Nginx的用户）具有写入权限。basename($fileName): 这是一个重要的安全措施，用于从路径中提取文件名，防止用户通过文件名尝试进行路径遍历攻击（例如上传../../etc/passwd）。is_uploaded_file($fileTmpName): 这是一个安全检查，用于确认文件确实是通过HTTP POST上传的，而不是恶意用户伪造的请求。move_uploaded_file($fileTmpName, $destination): 将临时文件移动到最终目标。成功返回true，失败返回false。
2.3 安全注意事项
文件上传是一个潜在的安全漏洞，必须采取预防措施：
文件类型验证： 不仅仅依赖accept属性和$_FILES[‘type’]。在服务器端检查文件扩展名，甚至可以使用finfo_file()或getimagesize()来验证文件的真实MIME类型。文件大小限制： 在php.ini中配置upload_max_filesize和post_max_size，并在PHP脚本中再次检查$_FILES[‘size’]。文件重命名： 上传的文件最好使用唯一的文件名（例如使用uniqid()、时间戳或哈希值）进行重命名，以防止文件覆盖和文件名冲突，同时避免执行恶意脚本（如果攻击者上传一个名为shell.php的文件）。目录权限： 上传目录的权限应设置为只允许Web服务器写入，但不允许执行文件。输入验证： 对所有用户输入进行验证和清理。
3. 数据库路径存储
上传成功后，我们应该将文件的可访问路径存储到数据库中，而不是文件本身的二进制内容。这样可以避免数据库变得过于庞大，并提高性能。
prepare($sql)) { // 绑定参数 // 'ssssssss' 表示所有参数都是字符串类型 $stmt->bind_param("ssssssss", $a, $b, $c, $d, $e, $f, $h, $filePathForDB); // 执行语句 if ($stmt->execute()) { echo "文件路径已成功保存到数据库。
"; } else { echo "数据库插入失败: " . $stmt->error . "
"; } $stmt->close(); } else { echo "预处理语句失败: " . $conn->error . "
"; }} else { echo "文件未成功上传，无法保存路径到数据库。
";}// 关闭数据库连接// $conn->close();?>
说明：
foto2字段应在数据库中定义为VARCHAR或TEXT类型，用于存储文件路径。强烈建议使用预处理语句（Prepared Statements）来插入数据，以防止SQL注入攻击。
4. 显示上传的图片
要显示上传的图片，只需从数据库中检索其路径，并将其作为标签的src属性值。
query($sql);if ($result->num_rows > 0) { while ($row = $result->fetch_assoc()) { echo ""; // ... 显示其他数据 ... $tdStyle = 'background-color:grey;'; echo ""; // 确保数据库中存储的路径是Web可访问的相对路径 // 例如，如果图片存储在 C:xampphtdocseaimage.jpg，数据库中存储的是 ea/image.jpg // 那么在HTML中，浏览器会尝试访问 http://yourdomain.com/ea/image.jpg if (!empty($row['foto2'])) { echo "@@##@@"; } else { echo "无图片"; } echo " "; echo " "; }} else { echo "没有找到用户数据。
注意：
src属性中的路径必须是相对于Web服务器根目录或当前页面的可访问路径。使用htmlspecialchars()函数对输出的路径进行转义，以防止跨站脚本（XSS）攻击。添加alt属性，提高可访问性。
总结
实现PHP文件上传涉及前端HTML表单的正确配置、后端PHP脚本对$_FILES超级全局变量的正确使用以及move_uploaded_file()函数将文件移动到目标目录。同时，为了数据管理和性能优化，应将文件的可访问路径存储到数据库中，而不是文件本身。在整个过程中，安全性是至关重要的，务必进行文件类型、大小、文件名等方面的严格验证和处理，并始终使用预处理语句与数据库交互，以构建健壮安全的Web应用。
以上就是掌握PHP文件上传：安全存储与路径管理教程的详细内容，更多请关注php中文网其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/1333397.html
微信扫一扫 
支付宝扫一扫 
