PHP 如何做文件上传接口

在日常做网站或小程序开发时，用户上传头像、证件照片这类需求很常见，而文件上传接口就是实现这个功能的核心。用PHP做这类接口其实不难，只要搞懂“接收文件→验证规则→存储文件→返回结果”这几个核心步骤，就能轻松实现。

第一步：先搞懂PHP怎么“接”文件

用户上传文件时，浏览器会把文件转成特殊的数据流，通过POST请求发给后端。PHP里有个专门的全局变量$_FILES，就是用来存这些上传文件信息的，相当于一个“文件接收盒”。

举个生活化的例子：你去快递点收包裹，快递员（浏览器）把包裹（文件）送到前台（后端），前台用$_FILES把包裹的重量、收件人、寄件人这些信息记下来。比如$_FILES['avatar']里，就有name（原文件名，比如“我的头像.jpg”）、tmp_name（临时存储的文件名，比如“php123.tmp”）、error（错误码，0代表没问题）这些关键信息。

要注意的是，必须在前端表单里加enctype="multipart/form-data"这个属性，不然浏览器会把文件当成普通字符串发，PHP就接不到了。就像寄快递时必须填“快递包裹”的面单，不能当成普通信件寄，不然前台没法识别。

第二步：给上传加“门槛”——验证规则

不是随便什么文件都能存的，得先筛掉不合适的，不然要么占空间，要么有安全风险。验证的内容主要有这几个：

• 错误检查：先看$_FILES['file']['error']是不是0，如果是1就是文件太大（超过php.ini里的上传限制），2是前端限制了文件大小，这两种都要提示用户改。
• 文件类型：只允许上传图片的话，不能只看后缀名（比如有人把病毒改成.jpg），可以用finfo扩展读取文件的真实MIME类型，比如图片是image/jpeg、image/png，文档是application/pdf。就像收快递时不能只看包裹上写的“食品”，得打开看看里面是不是真的食品。
• 文件大小：一般限制在2MB以内，避免占服务器空间，比如$_FILES['file']['size']超过2*1024*1024字节就拒绝。
• 文件名安全：把原文件名改成随机字符串，避免重名覆盖，比如用uniqid() . '.' . pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION)，相当于给包裹换个专属编号，防止和别人的包裹重名。

第三步：把临时文件“移”到永久存储位置

验证通过后，就要把PHP临时存的文件，移到你网站的专门文件夹里（比如./uploads/）。这里要用move_uploaded_file()函数，这个函数能确保文件是通过HTTP上传的，不是本地随便造的文件，安全有保障。

比如写一行简单的代码：move_uploaded_file($_FILES['file']['tmp_name'], $savePath)，就像快递点把检查合格的包裹，放到你家专门放包裹的柜子里，而不是随便丢在路边。如果移动失败，就要给用户返回错误，比如“存储失败，请稍后重试”。

第四步：返回结果给前端

文件存好后，要把文件的访问链接返回给前端，这样用户就能在页面上看到刚上传的内容了。比如如果你的网站域名是https://www.example.com，上传的文件在./uploads/avatar123.jpg，那返回的链接就是https://www.example.com/uploads/avatar123.jpg。

还要加个判断：如果整个流程中哪一步失败了，就返回错误信息，比如“请上传JPG/PNG格式的图片，大小不超过2MB”，让用户清楚问题在哪，而不是只收到一个“失败了”的提示。

实际开发中，还可以加些优化，比如用云存储（阿里云OSS、腾讯云COS）代替本地存储，避免服务器空间不够；或者限制每天的上传次数，防止恶意刷文件。不过这些都是进阶操作，基础的文件上传接口，把上面这几步做对，就已经能满足大部分需求了。