PHP多图上传时$_FILES是按字段名垂直分组的二维结构，需通过索引对齐name、tmp_name等子数组遍历文件，而非直接foreach($_FILES['images'])。
PHP 多图上传时 $_FILES 的结构到底长什么样
直接拿 var_dump($_FILES) 看，你会发现它不是你想象中“每个文件一个数组”，而是按字段名垂直分组的二维结构。比如表单里写 <input type="file" name="images[]" multiple>，PHP 接收到的 $_FILES['images'] 是这样的：
Array
(
[name] => Array
(
[0] => a.jpg
[1] => b.png
)
[type] => Array
(
[0] => image/jpeg
[1] => image/png
)
[tmp_name] => Array
(
[0] => /tmp/phpabc123
[1] => /tmp/phpdef456
)
[error] => Array
(
[0] => 0
[1] => 0
)
[size] => Array
(
[0] => 204800
[1] => 156789
)
)
这意味着你不能直接 foreach ($_FILES['images'] as $file) —— 那样遍历的是 name、tmp_name 这些键，不是单个文件。必须先用 count($_FILES['images']['name']) 拿到文件数量，再用索引对齐所有子数组。
用 foreach 正确遍历多图上传的三步操作
核心是：把横向的字段维度转成纵向的文件维度。以下逻辑适用于 PHP 7.4+，不依赖框架：
- 先检查
$_FILES['images']['error'][0]是否为UPLOAD_ERR_OK，避免空提交或整个字段没传 - 用
array_keys($_FILES['images']['name'])或range(0, count($_FILES['images']['name']) - 1)构建索引数组 - 对每个索引
$i，组合出完整文件信息：['name' => $_FILES['images']['name'][$i], 'tmp_name' => $_FILES['images']['tmp_name'][$i], ...]
示例片段：
立即学习“PHP免费学习笔记（深入）”；
$uploadDir = '/var/www/uploads/';
$uploadedPaths = [];
<p>for ($i = 0; $i < count($_FILES['images']['name']); $i++) {
$file = [
'name' => $_FILES['images']['name'][$i],
'tmp_name' => $_FILES['images']['tmp_name'][$i],
'error' => $_FILES['images']['error'][$i],
'size' => $_FILES['images']['size'][$i],
'type' => $_FILES['images']['type'][$i],
];</p><pre class='brush:php;toolbar:false;'>if ($file['error'] === UPLOAD_ERR_OK && $file['size'] > 0) {
$ext = pathinfo($file['name'], PATHINFO_EXTENSION);
$newName = uniqid() . '.' . strtolower($ext);
$targetPath = $uploadDir . $newName;
if (move_uploaded_file($file['tmp_name'], $targetPath)) {
$uploadedPaths[] = '/uploads/' . $newName;
}
}}
move_uploaded_file 失败的常见原因和绕过陷阱
即使 $file['error'] 是 0，move_uploaded_file 仍可能静默失败。排查重点在：
-
$file['tmp_name']是否为空或非法路径（比如用户伪造 POST 数据）——务必加is_uploaded_file($file['tmp_name'])双重校验 - 目标目录
$uploadDir必须存在、可写，且 PHP 进程有权限（常被忽略的是 SELinux 或容器内挂载权限） - 文件扩展名未过滤：攻击者可传
shell.php.jpg绕过前端限制，后端要严格校验$file['type']和实际二进制头（用finfo_open(FILEINFO_MIME_TYPE)） - 并发上传时，
uniqid()不够唯一，建议改用bin2hex(random_bytes(16))（PHP 7+）
保存路径时要不要入库？怎么存更安全
如果业务需要持久化路径，别直接存相对路径如 /uploads/abc123.jpg。因为部署路径可能变，Nginx/Apache 的 root 设置也可能不同。更稳妥的做法：
- 数据库只存文件名（如
abc123.jpg），拼接逻辑放在读取时统一处理 - 或存带哈希前缀的子目录（如
uploads/ab/cd/abc123.jpg），缓解单目录海量文件性能问题 - 绝对不要把
$_FILES中的原始name直接入库——含路径字符（../../etc/passwd）会引发路径遍历风险
上传完成后的路径数组 $uploadedPaths 建议做一次 array_filter($uploadedPaths, 'is_string')，防止因某张图失败导致空值混入。
