首先创建含enctype的HTML表单，再用PHP接收文件，检查目录、移动临时文件，验证类型与大小，生成唯一文件名，并调整php.ini限制以确保上传成功。
如果您尝试在PHP项目中添加图片上传功能，但服务器无法正确接收或保存文件，则可能是由于表单配置、文件处理逻辑或安全限制的问题。以下是实现该功能的具体步骤：
本文运行环境：联想小新Pro 16，Windows 11
一、创建HTML上传表单
要使用户能够选择并提交图片文件，必须使用支持文件上传的HTML表单。该表单需设置正确的编码类型，以确保二进制数据可以被正确传输。
1、创建一个名为 upload.html 的文件，并写入以下内容：
立即学习“PHP免费学习笔记（深入）”；
zuojiankuohaophpcnform action="upload.php" method="post" enctype="multipart/form-data">
<input type="file" name="image" accept="image/*" required>
<button type="submit">上传图片</button>
</form>
2、确保 form 标签中的 enctype="multipart/form-data" 存在，否则文件数据将无法发送。
二、编写PHP文件处理脚本
PHP脚本负责接收通过表单提交的文件，并将其移动到指定目录。此过程需要检查上传状态和临时文件路径。
1、创建 upload.php 文件，开始处理上传请求：
$targetDir = "uploads/";
$targetFile = $targetDir . basename($_FILES["image"]["name"]);
2、检查目标目录是否存在，若不存在则创建：
if (!is_dir($targetDir)) {
mkdir($targetDir, 0777, true);
}
3、将上传的临时文件移动到目标位置：
if (move_uploaded_file($_FILES["image"]["tmp_name"], $targetFile)) {
echo "图片上传成功：". htmlspecialchars(basename($_FILES["image"]["name"]));
} else {
echo "上传失败，请重试。";
}
三、验证文件类型防止恶意上传
仅允许特定类型的图片文件（如 JPG、PNG）可有效阻止可执行脚本或其他危险文件的上传。
1、获取文件扩展名并进行白名单过滤：
$allowedTypes = ['jpg', 'jpeg', 'png', 'gif'];
$fileExtension = strtolower(pathinfo($targetFile, PATHINFO_EXTENSION));
2、判断扩展名是否在允许列表中：
if (!in_array($fileExtension, $allowedTypes)) {
echo "仅允许 JPG、JPEG、PNG 和 GIF 文件。";
exit;
}
3、使用 getimagesize() 函数进一步确认文件是否为真实图像：
$check = getimagesize($_FILES["image"]["tmp_name"]);
if ($check !== false) {
// 是合法图像
} else {
echo "文件不是有效的图像。";
exit;
}
四、限制文件大小避免资源滥用
设置最大允许上传尺寸可以防止服务器因大文件而性能下降或磁盘耗尽。
1、定义最大文件大小（例如 2MB）：
$maxFileSize = 2 * 1024 * 1024; // 2MB
2、比较上传文件的实际大小：
if ($_FILES["image"]["size"] > $maxFileSize) {
echo "文件过大，最大允许 2MB。";
exit;
}
五、防止文件名冲突与覆盖攻击
直接使用用户提供的文件名可能导致同名文件被覆盖或潜在的安全风险。应生成唯一文件名以规避此类问题。
1、使用时间戳和随机字符串组合生成新文件名：
$newFileName = time() . '_' . bin2hex(random_bytes(8)) . '.' . $fileExtension;
$targetFile = $targetDir . $newFileName;
2、确保即使上传相同名称的图片也不会发生覆盖。
六、设置服务器级上传限制
PHP默认配置可能限制了上传功能的行为，需调整 php.ini 中的相关参数以支持更大的文件和更长的执行时间。
1、修改以下配置项：
upload_max_filesize = 10M
post_max_size = 12M
max_execution_time = 300
2、重启Web服务器（如 Apache 或 Nginx）使更改生效。
