php多文件上传的$_files数组是三维嵌套结构，需按索引对齐处理；必须逐个调用move_uploaded_file()并校验error、权限、路径；前后端max_file_uploads须同步，且要处理部分失败等边界情况。
PHP多文件上传的$_FILES数组结构必须理解清楚
PHP不会自动把多个同名文件输入框合并成一个扁平数组——它生成的是嵌套三维数组，这是绝大多数人卡住的第一步。比如表单里写 <input type="file" name="photos[]" multiple>，后端收到的 $_FILES['photos'] 长这样：
Array(
['name'] => Array([0] => a.jpg, [1] => b.png)
['type'] => Array([0] => image/jpeg, [1] => image/png)
['tmp_name'] => Array([0] => /tmp/phpabc123, [1] => /tmp/phpdef456)
['error'] => Array([0] => 0, [1] => 0)
['size'] => Array([0] => 12345, [1] => 67890)
)
直接遍历 $_FILES['photos'] 会得到字段名（如 'name'），而不是文件。必须按索引对齐处理。
用array_map()配合array_column()重组为文件维度数组
手动写 for 循环容易错位，尤其当某文件上传失败（error !== 0）时。推荐先校验总数，再用函数式方法拉平：
$files = $_FILES['photos'] ?? [];
$count = count($files['name'] ?? []);
// 过滤掉上传失败或空文件
$validFiles = [];
for ($i = 0; $i < $count; $i++) {
if ($files['error'][$i] === UPLOAD_ERR_OK && $files['size'][$i] > 0) {
$validFiles[] = [
'name' => $files['name'][$i],
'type' => $files['type'][$i],
'tmp_name' => $files['tmp_name'][$i],
'size' => $files['size'][$i],
'error' => $files['error'][$i],
];
}
}
这样得到的 $validFiles 是标准的“每项一个文件”的数组，后续移动、验证、入库都更安全。
立即学习“PHP免费学习笔记（深入）”；
move_uploaded_file()必须逐个调用，不能批量传数组
PHP 的 move_uploaded_file() 只接受单个 tmp_name 和目标路径，传数组会报 Warning 并静默失败。常见错误包括：
- 误写
move_uploaded_file($files['tmp_name'], $dest)——$files['tmp_name']是数组，不是字符串 - 没检查
is_uploaded_file($tmp)就直接移动，可能被伪造路径攻击 - 目标目录权限不足或不存在，但没做
mkdir(..., 0755, true)
正确做法是循环中每个文件单独处理：
foreach ($validFiles as $file) {
$ext = pathinfo($file['name'], PATHINFO_EXTENSION);
$target = '/var/www/uploads/' . uniqid() . '.' . strtolower($ext);
if (move_uploaded_file($file['tmp_name'], $target)) {
// 记录 $target 到数据库
}
}
前端<input multiple>和后端max_file_uploads要同步检查
浏览器允许一次选 100 个文件，但 PHP 默认只接收前 20 个（由 php.ini 的 max_file_uploads 控制）。如果用户选了 50 个，后端只能拿到前 20 个，且不报错——这非常隐蔽。
务必确认：
- 前端用
<input type="file" name="photos[]" multiple accept="image/*">，并加 JS 限制选择数量（如input.files.length ） - 后端读取
ini_get('max_file_uploads')，与预期数量比对，不够就提前返回错误 - 同时检查
upload_max_filesize和post_max_size，避免大文件整体被截断
真正麻烦的不是代码怎么写，而是上传边界条件太多：部分失败、超限静默丢弃、临时文件清理时机、并发写入冲突……这些都得在循环体里一个个补漏。
