PHP实现图片上传功能需注意安全性和代码健壮性。以下是关键步骤和示例代码：

一、核心实现步骤

1. HTML表单设置

   <form action="upload.php" method="post" enctype="multipart/form-data"> <input type="file" name="image" accept="image/*"> <input type="submit" value="上传"> </form>

2. 服务器端验证（upload.php）

   <?php // 基础验证 if ($_SERVER['REQUEST_METHOD'] !== 'POST' || !isset($_FILES['image'])) { die("非法请求"); } $file = $_FILES['image']; $maxSize = 2 * 1024 * 1024; // 2MB $allowedTypes = ['image/jpeg', 'image/png', 'image/gif']; // 校验文件大小 if ($file['size'] > $maxSize) { die("文件大小超过限制"); } // 校验文件类型 $finfo = new finfo(FILEINFO_MIME_TYPE); $mime = $finfo->file($file['tmp_name']); if (!in_array($mime, $allowedTypes)) { die("不支持的文件类型"); } // 生成唯一文件名 $ext = pathinfo($file['name'], PATHINFO_EXTENSION); $newName = uniqid() . '.' . $ext; $targetPath = "uploads/" . $newName; // 移动文件 if (move_uploaded_file($file['tmp_name'], $targetPath)) { echo "上传成功！路径: $targetPath"; } else { echo "上传失败"; } ?>

二、安全增强措施

1. 文件重命名
   避免使用原始文件名，防止路径遍历攻击：

   $safeName = preg_replace("/[^a-zA-Z0-9\._]/", "", $file['name']);

2. 二次图像验证
   防止伪装成图片的恶意文件：

   if (!getimagesize($file['tmp_name'])) { die("非有效图像文件"); }

3. 目录权限控制
   确保上传目录不可执行PHP：

   location ~ ^/uploads/.*\.php$ { deny all; }

三、常见错误处理

四、替代方案推荐

1. 使用Composer组件

   composer require intervention/image

   实现图像处理+上传：

   use Intervention\Image\ImageManager; $manager = new ImageManager(); $image = $manager->make($_FILES['image']['tmp_name'])->resize(800, 600); $image->save('uploads/resized.jpg');

五、服务器配置

在php.ini中调整关键参数：

; 允许最大上传大小 upload_max_filesize = 10M ; 临时文件保存路径（需可写） upload_tmp_dir = "/var/tmp" ; 同时处理的最大文件数 max_file_uploads = 20

最佳实践建议：

1. 结合前端JS进行预校验（如文件大小/类型）
2. 对上传图片进行缩放/压缩处理
3. 定期清理未使用上传文件
4. 使用云存储（如AWS S3）分离静态资源

完整实现需结合具体业务场景调整安全策略，建议使用成熟的框架（如Laravel的Storage组件）简化开发。