ThinkPHP5文件上传需严格处理验证、路径、错误码和前后端配合，否则易出现上传失败无报错或文件名乱码等问题；路径必须用ROOT_PATH . 'public' . DS . 'uploads'等绝对物理路径，目录需预先创建并设写权限，字段名须与前端input的name完全一致，且必须校验size、ext、type三类规则，返回JSON格式须严格符合前端要求。
ThinkPHP5 文件上传不是调个 move() 就完事的，不处理好验证、路径、错误码和前端配合，上线后大概率会卡在「上传失败但没报错」或者「文件名乱码/覆盖/路径不对」上。
thinkphp5 中 $file->move() 的路径参数怎么写才不踩坑
路径必须是**物理绝对路径**，不能用相对路径或 URL。常见错误是直接写 'uploads' 或 ./public/uploads，这会导致移动失败且 $info 为 null。
-
ROOT_PATH . 'public' . DS . 'uploads'是安全写法（DS自动适配 Windows/Linux） - 目录必须已存在且有写权限；如果不存在，得先
mkdir()并设好权限（如 0755） - Windows 下路径含反斜杠，建议统一用
str_replace('\', '/', $info->getSaveName())处理返回路径 - 不要把上传目录放在
app/或runtime/下——这些目录通常被 Web 服务器禁止直接访问
前端传 file 字段名和后端 request()->file() 怎么对上
字段名不一致是上传拿不到文件的最常见原因。后端 request()->file('xxx') 的 'xxx' 必须和 HTML 中 input 的 name 完全一致（包括中括号数组语法）。
- 单文件：
<input type="file" name="avatar">→ 后端用request()->file('avatar') - 多文件数组：
<input type="file" name="images[]">→ 后端用request()->file('images')（返回数组） - Layui 默认发的是
name="file"，所以后端必须用request()->file('file')，不能擅自改成别的 - 如果用了
FormData.append('myfile', file)手动构造，后端就得对应request()->file('myfile')
上传前必须做的三项验证：size、ext、type
仅靠前端限制（如 accept 或 JS 判断）毫无意义，攻击者可绕过。TP5 的 validate() 必须启用，且要同时校验三类规则。
立即学习“PHP免费学习笔记（深入）”；
-
size：单位是字节，比如10 * 1024 * 1024表示 10MB；注意它和 php.ini 的upload_max_filesize要匹配，否则请求根本到不了 PHP -
ext：用英文逗号分隔，如'jpg,png,gif,webp'；注意大小写不敏感，但不要带点（写'.jpg'会失效） -
type：校验 MIME 类型更可靠，例如'image/jpeg,image/png,application/vnd.openxmlformats-officedocument.spreadsheetml.sheet'（Excel） - 漏掉
type校验容易被伪造后缀绕过，比如把木马改成shell.jpg.php仍能上传成功
返回 JSON 格式必须严格符合前端预期
尤其是用 Layui、WebUploader 等 UI 库时，它们靠 code 和 data.src 解析结果。返回格式错一个字母，前端就卡在 loading 状态不动。
- 成功必须返回
{"code":0,"msg":"","data":{"src":"/uploads/20260521/abc.png"}}（注意src是相对 URL，不是物理路径） - 失败必须返回
{"code":1,"msg":"文件类型不支持","data":{}}；code !== 0才触发 error 回调 - TP5 推荐用
json()方法返回：return json(['code'=>0,'msg'=>'','data'=>['src'=>$url]]); - 别用
echo json_encode()+exit，可能混入 BOM 或调试输出，导致 JSON 解析失败
真正麻烦的从来不是上传动作本身，而是上传失败时你根本不知道是 PHP 配置拦了、目录没权限、字段名拼错了，还是前端把 Content-Type 改成了 application/json。每次部署前，务必用 curl -F "file=@test.jpg" http://yoursite.com/upload 直连接口测一遍原始响应。
