PHP多文件上传时$_FILES是二维嵌套数组，需用count()判长后遍历；错误处理须依赖error码而非文件名空值；安全校验必须包含is_uploaded_file、安全重命名和内容验证。
PHP 多文件上传时 $_FILES 结构为什么总读不对？
因为 HTML 表单没写对，或 PHP 没按数组方式取值。浏览器提交多文件时，$_FILES 不是扁平结构，而是按字段名嵌套的二维数组 —— 即使只传一个文件，也得当数组处理。
- 表单必须加
multiple属性，且name带方括号：<input type="file" name="files[]" multiple> -
$_FILES['files']是个关联数组，含name、tmp_name、error等键，每个键本身又是索引数组（对应每个文件） - 别直接遍历
$_FILES['files']['name']，要先用count($_FILES['files']['name'])判长度，再用for或foreach按索引取每组值 - 常见错误：写成
$_FILES['files'][0]['name']—— 这是错的，$_FILES里没有数字索引顶层
怎么判断某个文件上传失败而不是被忽略？
$_FILES 的 error 字段才是唯一可信依据，不能靠 $_FILES['files']['name'] 是否为空来判断。空名可能只是用户没选，也可能上传被拒，但错误码能明确区分原因。
-
UPLOAD_ERR_OK（0）：成功 -
UPLOAD_ERR_NO_FILE（4）：根本没选文件（不是错误，是正常无操作） -
UPLOAD_ERR_INI_SIZE（1）或UPLOAD_ERR_FORM_SIZE（2）：超 PHP 配置限制，需检查upload_max_filesize和post_max_size - 只要
error !== UPLOAD_ERR_OK，就该跳过该文件，不进后续处理
move_uploaded_file 安全校验绕不开这三步
仅检查扩展名或 MIME 类型远远不够，攻击者能轻易伪造。真正有效的控制点在临时文件路径、目标路径生成和内容解析三个环节。
- 永远用
is_uploaded_file(<code>$_FILES['files']['tmp_name'][$i]) 包裹move_uploaded_file，防止 LFI 利用恶意tmp_name - 目标路径不能拼接原始文件名：
$ext = pathinfo($_FILES['files']['name'][$i], PATHINFO_EXTENSION); $safe_name = uniqid() . '.' . strtolower($ext); - 对图片类文件，用
getimagesize(<code>$_FILES['files']['tmp_name'][$i]) 二次验证是否真为图像，避免 `.php.jpg` 绕过
并发上传多个大文件时内存和超时怎么扛住？
PHP 默认配置对多文件上传极不友好：单个请求的 max_execution_time 和内存限制会累加作用，且 move_uploaded_file 是阻塞式 IO，容易卡死。
立即学习“PHP免费学习笔记（深入）”；
- 上传前用
ini_set('max_execution_time', 300)临时延长（别改全局配置） - 避免一次性读取所有文件内容，
move_uploaded_file后立刻unset($_FILES)释放内存 - 生产环境建议把大文件上传交给 Nginx 的
upload_pass或前端分片，PHP 只做元数据校验和落库
is_uploaded_file 校验 —— 很多人只写成功路径，一出错就裸奔到 move_uploaded_file，等于把临时文件路径直接暴露给攻击者。 
