validate方法对上传文件校验无效，因ThinkPHP默认Validate不支持fileSize等文件规则；TP5.1需用FileValidate类，TP6.x须构造含tmp_name/size/extension的数组并启用fileSize、fileExt等内置规则。
validate方法对上传文件校验无效？先确认是否用了正确的验证器类型
ThinkPHP 的 validate 方法默认走的是模型验证器（think\Validate），但它不原生支持上传文件对象校验——比如 fileSize、fileExt 这类规则，必须用专门的 think\FileValidate（5.1+）或通过 think\Validate 的扩展规则配合手动提取文件信息。
常见错误现象：validate(['file' => 'require|fileSize:2097152']) 看似合理，但实际会报错或跳过校验，因为 fileSize 规则在普通 Validate 实例里并不存在。
- 必须显式使用
think\FileValidate类（TP 5.1.38+ 内置） - 或者在普通
Validate中手动传入$_FILES['file']的size和extension字段做字符串/数值校验 - TP 6.x 已移除
FileValidate，统一改用Validate+ 文件驱动规则，需额外注册fileSize、fileExt等内置规则
TP 5.1 使用 FileValidate 校验上传文件的正确写法
FileValidate 是专为 $_FILES 数组设计的验证器，能自动识别 tmp_name、size、extension 等字段，无需手动解包。
use think\FileValidate;
<p>$data = $_FILES['avatar'];
$validate = new FileValidate();
$result = $validate->rule([
'size' => 'require|between:0,2097152',
'ext' => 'in:jpg,png,gif',
])->check($data);</p><p>if (!$result) {
echo $validate->getError(); // 自动映射错误信息
}</p>-
rule()中的键名size和ext是硬编码字段名，对应$_FILES['avatar']的size和extension（注意不是name或type） - 不要写成
'avatar.size'或'file.size'，FileValidate只认原始键 - 若上传是多文件（
$_FILES['images']['name'][0]形式），需先用think\facade\File转成标准数组再逐个校验
TP 6.x 没有 FileValidate？用 Validate + 扩展规则替代
TP 6.x 移除了独立的 FileValidate，但提供了 fileSize、fileExt、image 等内置规则，前提是验证数据结构得“看起来像文件”。
立即学习“PHP免费学习笔记（深入）”；
关键点在于：不能直接传 $_FILES['file'] 整体，而要构造一个含 tmp_name、size、extension 的数组：
use think\Validate; <p>$file = $_FILES['cover']; $data = [ 'tmp_name' => $file['tmp_name'], 'size' => $file['size'], 'extension' => pathinfo($file['name'], PATHINFO_EXTENSION), ];</p><p>$validate = Validate::make([ 'tmp_name' => 'require|fileExists', 'size' => 'require|fileSize:2097152', 'extension' => 'require|fileExt:jpg,png,jpeg', ]);</p><p>$result = $validate->check($data);</p>
-
fileExists规则检查tmp_name是否为有效临时路径（防止空上传或伪造） -
fileSize和fileExt是 TP 6 内置规则，但只在Validate实例中注册后才可用（通常已默认加载） - 如果校验失败提示 “rule not exists”，说明当前版本未启用这些规则，需手动添加：
Validate::extend('fileSize', \think\validate\Rule::class . '::fileSize');
上传校验绕过风险：别只信客户端或表单限制
前端 <input type="file" accept="image/*" max="2097152"> 完全不可靠，用户禁用 JS 或用 curl 就能绕过。
- 所有尺寸、类型、内容校验必须在服务端重复执行，且优先以
$_FILES原始字段为准（如extension比type更可信，但也要防伪造） -
fileExt校验依赖文件后缀，攻击者可上传shell.php.jpg绕过，真正安全的做法是结合getimagesize()或 MIME 检测（TP 6 的image规则已做此检测） - 千万别把
$_FILES['file']['tmp_name']直接move_uploaded_file到 web 可访问目录，先校验、再重命名、再移动
上传文件校验不是“加个 rule 就完事”，它卡在框架抽象层和 PHP 底层行为之间，稍不留神就漏掉 tmp_name 是否为空、error 是否为 0、扩展名是否被伪造这些细节。
