本文介绍如何使用 php 的 `pathinfo()` 和 `move_uploaded_file()` 函数，依据上传文件的扩展名（如 .jpg、.pdf）将其自动移动至对应子目录（如 `/uploads/images/` 或 `/uploads/docs/`），实现安全、可维护的文件分类存储。
在 Web 开发中，对用户上传的文件按类型分类管理是常见需求——图片存入 images/，文档存入 docs/，压缩包存入 archives/，既便于后续处理，也利于权限控制与 CDN 分发。PHP 原生提供了简洁可靠的方案，无需第三方库。
核心思路分三步：
- 解析上传文件信息：使用 pathinfo() 提取原始文件名与扩展名；
- 映射扩展名到目标目录：通过配置数组定义类型规则（推荐小写统一处理）；
- 安全移动并验证：调用 move_uploaded_file() 执行转移，并严格校验上传状态与路径合法性。
以下为完整、生产就绪的示例代码：
魔法映像企业网站管理系统
下载
技术上面应用了三层结构，AJAX框架，URL重写等基础的开发。并用了动软的代码生成器及数据访问类，加进了一些自己用到的小功能，算是整理了一些自己的操作类。系统设计上面说不出用什么模式，大体设计是后台分两级分类，设置好一级之后，再设置二级并选择栏目类型，如内容，列表，上传文件，新窗口等。这样就可以生成无限多个二级分类，也就是网站栏目。对于扩展性来说，如果有新的需求可以直接加一个栏目类型并新加功能操作
['jpg', 'jpeg', 'png', 'gif', 'webp'],
'docs' => ['pdf', 'doc', 'docx', 'txt', 'odt'],
'archives' => ['zip', 'rar', '7z', 'tar', 'gz'],
];
// 2. 处理单个上传文件（假设表单字段名为 'upload_file'）
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['upload_file'])) {
$file = $_FILES['upload_file'];
// 基础校验：确保上传成功且无错误
if ($file['error'] !== UPLOAD_ERR_OK) {
die("文件上传失败：错误码 {$file['error']}");
}
// 解析扩展名（不依赖客户端提供的 name，避免伪造）
$ext = strtolower(pathinfo($file['name'], PATHINFO_EXTENSION));
// 查找匹配的目标目录
$targetDir = null;
foreach ($extensionMap as $dir => $extensions) {
if (in_array($ext, $extensions)) {
$targetDir = "uploads/{$dir}/";
break;
}
}
if (!$targetDir) {
die("不支持的文件类型：.{$ext}");
}
// 创建目标目录（递归，需确保父目录可写）
if (!is_dir($targetDir)) {
if (!mkdir($targetDir, 0755, true)) {
die("无法创建目录：{$targetDir}");
}
}
// 生成唯一安全文件名（防重名 & XSS）
$safeName = bin2hex(random_bytes(8)) . '.' . $ext;
$destination = $targetDir . $safeName;
// 执行移动（关键：仅接受 $_FILES['tmp_name']，拒绝直接操作 $_FILES['name']）
if (move_uploaded_file($file['tmp_name'], $destination)) {
echo "✅ 文件已成功保存至：{$destination}";
} else {
die("❌ 文件移动失败，请检查目录权限或磁盘空间。");
}
}
?>⚠️ 重要注意事项：
- 绝不信任客户端扩展名：始终用 pathinfo($file['name'], PATHINFO_EXTENSION) 解析，而非 $_POST 或文件名字符串拼接；
- 必须校验 $_FILES['error']：跳过 UPLOAD_ERR_OK 以外的所有情况（如超限、中断等）；
- 禁用直接使用 $_FILES['name'] 构造路径：防止路径遍历攻击（如 ../../../etc/passwd），应生成随机文件名；
- 目录权限与 SELinux：确保 Web 服务器用户（如 www-data 或 nginx）对 uploads/ 及其子目录有写权限；
- 扩展名白名单优于黑名单：本例采用白名单映射，更安全可靠；
- 生产环境建议补充 MIME 类型校验（如 finfo_file()），进一步防范伪造文件头。
通过以上结构化实现，你不仅能精准按扩展名分流文件，还能兼顾安全性、可扩展性与可维护性。只需调整 $extensionMap 数组，即可快速适配新增文件类型与存储策略。
