ThinkPHP提供了便捷的文件上传处理机制，开发者可以通过简单的配置和代码逻辑快速实现文件上传功能，同时要做好多方面的安全处理避免风险。
前端上传表单搭建
首先需要搭建文件上传的前端表单，表单必须设置enctype属性为multipart/form-data，否则无法正确传输文件数据。下面是一个基础的单文件上传表单示例：
<form action="/upload/handle" method="post" enctype="multipart/form-data">
<input type="file" name="upload_file">
<button type="submit">上传文件</button>
</form>后端上传处理逻辑
在ThinkPHP的控制器中编写文件上传的处理方法，使用框架内置的think\File类来处理上传的文件，首先获取上传的文件实例，然后进行基础的校验和保存操作。
<?php
namespace app\controller;
use think\Controller;
use think\File;
class Upload extends Controller
{
// 处理文件上传
public function handle()
{
// 获取上传的文件
$file = request()->file('upload_file');
// 判断是否有文件上传
if (empty($file)) {
return '请选择要上传的文件';
}
// 移动到框架应用根目录/public/uploads/ 目录下
$saveName = \think\facade\Filesystem::disk('public')->putFile('uploads', $file);
if ($saveName) {
return '文件上传成功，保存路径：' . $saveName;
} else {
return '文件上传失败';
}
}
}基础配置说明
可以在config/filesystem.php中配置文件上传相关的参数，比如根目录、临时目录等，默认情况下上传的文件会保存到public/storage目录下，上面的putFile方法会自动生成唯一的文件名避免重复。
安全处理方案
仅实现基础的上传功能会存在很大的安全风险，需要对上传的文件做多维度的安全校验。
文件类型校验
不要仅依赖前端校验，必须做后端校验，通过获取文件的真实MIME类型和扩展名进行双重校验，避免上传恶意脚本文件。
// 校验文件类型
$allowedMimeTypes = ['image/jpeg', 'image/png', 'image/gif', 'application/pdf'];
$allowedExtensions = ['jpg', 'jpeg', 'png', 'gif', 'pdf'];
// 获取文件MIME类型
$fileMime = $file->getMime();
// 获取文件扩展名
$fileExt = $file->getOriginalExtension();
if (!in_array($fileMime, $allowedMimeTypes) || !in_array(strtolower($fileExt), $allowedExtensions)) {
return '不允许上传该类型的文件';
}文件大小限制
限制上传文件的大小，避免大文件占用服务器存储空间，影响服务性能。可以通过validate方法设置大小限制，比如限制文件不超过2MB：
// 限制文件大小不超过2MB，1MB=1024*1024字节 $file->validate(['size' => 2*1024*1024]);
存储路径与文件名处理
不要使用用户上传的原始文件名作为存储文件名，避免路径遍历攻击，使用框架提供的putFile方法会自动生成基于日期和随机字符串的唯一文件名，也可以自定义命名规则。同时上传目录不要放在web可访问的根目录下，或者配置禁止执行脚本文件的规则。
其他安全建议
- 对上传的文件做病毒扫描，如果是处理用户上传的可执行文件类内容，建议接入第三方病毒扫描接口
- 定期清理无用的上传文件，避免存储空间浪费
- 对上传文件的访问做权限控制，避免未授权访问敏感文件
常见问题排查
如果上传失败，可以先检查服务器的upload_max_filesize和post_max_size配置是否足够，再检查上传目录是否有写入权限，最后查看框架的日志定位具体的错误原因。