ThinkPHP 文件上传校验规则必须写在 validate() 方法参数中，格式为 ['size' => 字节数, 'ext' => ['jpg','png']]，需调用 $file->validate($rule) 才生效，且扩展名须全小写、无空格，size 单位为字节，错误信息通过捕获 FileValidateException 的 getMessage() 获取。
ThinkPHP 上传配置在哪写？validate 和 rule 别混用
ThinkPHP 的文件上传大小与类型限制，核心在 validate 配置项里，不是靠 PHP.ini 或 Nginx 单独控制。它本质是框架层的「预校验」，必须配合 think\File 实例的 validate() 方法调用才生效。
常见错误：把验证规则写在控制器里当普通数组传，或误以为写进 upload 配置就能自动拦截——实际不会触发校验逻辑。
-
validate是think\File对象的方法参数，不是全局配置项 - 规则数组必须包含
size（字节）、ext（小写扩展名，如['jpg','png']）两个键 - 不支持通配符或 MIME 类型（如
image/*），只认扩展名字符串数组 - 若没调用
$file->validate($rule)，后续move()会直接跳过校验
size 值填多少？注意单位是字节，不是 KB 或 MB
ThinkPHP 的 size 规则单位是字节（bytes），填 2048 表示 2KB，填 2097152 才是 2MB。很多人填 2 * 1024 * 1024 还算错——PHP 不支持这种表达式直接写进数组字面量，得提前计算或用常量。
更稳妥的做法是定义常量或变量：
立即学习“PHP免费学习笔记（深入）”；
$rule = [
'size' => 2 * 1024 * 1024, // ✅ 可以，但需确保上下文可执行
'ext' => ['jpg', 'jpeg', 'png', 'gif']
];
// 或直接写死
'size' => 2097152,- PHP.ini 的
upload_max_filesize和post_max_size是底层兜底，必须 ≥ 框架设置值，否则请求根本到不了 ThinkPHP - 如果用户上传超限文件，框架会抛出
think\exception\FileValidateException，不是ValidateException - 前端
<input type="file" maxlength="...">无效，浏览器不支持该属性校验文件大小
扩展名验证为什么总失败？大小写和空格是隐形杀手
ThinkPHP 的 ext 校验严格区分大小写，且会原样比对后缀（不含点）。上传 IMG.JPG 时，框架提取的扩展名是 jpg（小写），但如果规则写成 ['JPG','PNG'] 就会失败。
- 规则数组里的扩展名必须全小写，例如
['pdf', 'docx', 'xlsx'] - 文件名含空格（如
report .pdf）会导致扩展名提取为pdf前带空格，校验失败；建议上传前用$file->getInfo('name')检查原始名 - 不校验 MIME 类型，所以伪造后缀（如把 exe 改成 jpg）能绕过此层，必须配合服务端二进制头检测（如
finfo_file）做二次校验 - 允许空扩展名？不行。
ext规则不接受空字符串或null，上传无后缀文件会直接报错
验证失败后怎么取错误信息？别用 getError()
ThinkPHP 文件验证失败时，异常对象本身带具体原因，不是通过模型或验证器的 getError() 获取。直接捕获异常并读 getMessage() 最可靠。
try {
$file->validate(['size' => 1024, 'ext' => ['jpg']]);
$file->move(UPLOAD_PATH);
} catch (\think\exception\FileValidateException $e) {
echo $e->getMessage(); // 输出类似 "上传文件大小不得超过1024字节"
}- 错误消息是硬编码在框架源码里的（如
library/think/File.php），不可翻译也不可自定义格式 - 不要试图用
$file->getError()，这个方法只在move()失败后才有值，且内容不明确 - 如果需要结构化错误（比如返回 JSON 给前端），建议 catch 后手动映射：匹配
strpos($e->getMessage(), '大小')来区分类型
真正麻烦的是上传路径权限、临时目录清理、并发上传冲突这些——框架验证只是第一道门，过了这关不等于文件就安全了。
