应优先用 DOMDocument 解析 HTML 并遍历 img 标签检查 src 属性是否以 data:image/ 开头，避免正则误匹配；若用正则需支持大小写、扩展 MIME、空白及单双引号，并预处理换行；解码后保存路径须为 public/uploads/ 等可访问目录，文件名结合时间戳与随机字符串，确保目录权限；替换 src 时须用 DOM 操作并设绝对路径；需校验大小、合法性、去重，且扩展名仅从 MIME 映射获取。
正则匹配 base64 图片失败：常见 pattern 写法误区
ThinkPHP 接收富文本内容时，<img alt="如何处理ThinkPHP富文本编辑器上传的base64图片_正则提取与本地转存保存" > 标签里的 src 常是 data:image/png;base64,... 这类字符串。直接用 preg_match_all('/src="data:image\/(\w+);base64,([^"]+)"/', $html, $matches) 容易漏掉换行、空格或非标准 MIME 类型（比如 image/jpg 而非 image/jpeg），甚至被双引号外的 HTML 注释或 JS 混淆。
更稳妥的做法是先剥离 HTML 结构干扰，再精准捕获：
- 用
DOMDocument解析 HTML，遍历所有<img alt="如何处理ThinkPHP富文本编辑器上传的base64图片_正则提取与本地转存保存" >元素，检查src属性是否以data:image/开头 —— 避免正则误匹配文本内容 - 若坚持用正则，至少把 pattern 改为
/src\s*=\s*["']\s*data:image\/([a-zA-Z+.\-]+);base64,([^"']+)/i，支持大小写、扩展 MIME（如image/webp）、前后空白和单/双引号 - 注意：base64 字符串可能含换行（
\n或\r\n），base64_decode()会失败，需先str_replace(["\n", "\r"], '', $base64)
base64 解码后保存为文件：路径与权限踩坑点
解码后的二进制数据不能直接写入 public 目录下任意路径 —— ThinkPHP 的静态资源路由、Nginx/Apache 配置、以及上传目录的写权限都可能拦住你。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 保存路径必须在
public/uploads/或其它已配置为可访问的子目录下，避免写到runtime/或app/内（即使能写，也无法通过 HTTP 访问） - 生成文件名别用原始 base64 哈希，而应结合时间戳 + 随机字符串，例如：
$filename = date('Ymd') . '/' . uniqid() . '.' . $ext;，再用mkdir($dir, 0755, true)确保多级目录存在 - 写入前务必检查
file_put_contents($full_path, $binary_data)返回值，失败时记录error_get_last()，常见原因是目录不可写或磁盘满
替换 HTML 中的 base64 src 为相对 URL：ThinkPHP 路由兼容处理
图片本地化后，必须把原文本里所有 data:image/xxx;base64,... 替换成类似 /uploads/202405/abc123.png 的路径，否则前端仍加载失败。
关键细节：
- 不要用
str_replace()粗暴替换 —— 可能误改其他 base64 字符串（如 CSS 里的 background）。应基于 DOM 操作：修改$img->setAttribute('src', $new_url)后重新$dom->saveHTML() - 生成的
$new_url必须是**绝对路径前缀**（以/开头），否则在 ThinkPHP 多级路由（如/admin/article/edit）下会解析成相对路径，导致 404 - 如果项目启用了 URL 重写（如隐藏
index.php），确保/uploads/目录不在重写规则覆盖范围内，Nginx 示例中需有location ^~ /uploads/ { }显式放行
性能与安全边界：大图、重复、恶意 payload 的拦截
用户粘贴的富文本里，一张 base64 图片可能高达数 MB（尤其截图），不做限制会拖垮服务器内存或触发 PHP max_execution_time。
上线前必须加这几道过滤：
- 在解码前检查 base64 字符串长度，例如
if (strlen($base64) > 4 * 1024 * 1024) { throw new \Exception('Image too large'); }（对应约 3MB 原图） - 用
imagecreatefromstring($binary)尝试创建 GD 资源，失败说明不是合法图像，或含恶意 payload；成功后立即imagedestroy()释放内存 - 对同一请求内多次出现的相同 base64 内容做 MD5 缓存去重，避免重复解码写盘，
$cache_key = md5($base64);存到Cache::get($cache_key)
真正麻烦的是 base64 后面混着 PHP 代码或 shell 字符 —— 千万别把它当文件名拼接进 system() 或 eval()，哪怕看起来只是个扩展名。校验 $ext 只能从 MIME 类型映射来，不能信 base64 字符串里“自称”的格式。
