本文讲解如何通过 cURL 命令向 PHP 服务器上传文件，并让服务端自动从 URL 查询参数（如 ?fname=test.txt）中读取目标文件名，避免依赖 HTML 表单手动选择，适用于自动化部署场景。
本文讲解如何通过 curl 命令向 php 服务器上传文件，并让服务端自动从 url 查询参数（如 `?fname=test.txt`）中读取目标文件名，避免依赖 html 表单手动选择，适用于自动化部署场景。
在实际运维或 CI/CD 流程中，常需从 Linux 服务器自动上传固定名称的配置文件（如 test.txt）到 PHP 后端。此时不应依赖浏览器表单交互，而应通过命令行工具（如 curl）完成上传，并确保服务端能安全、可靠地解析并保存文件。
但需注意：原始问题中的思路存在关键误区——URL 中的 ?fname=test.txt 并不会自动成为上传文件的名称，因为 HTTP 文件上传（multipart/form-data）的文件名由客户端在请求体中显式指定，而非从查询字符串（query string）中提取。PHP 的 $_FILES['fname'] 中的 'name' 字段来源于客户端提交的 Content-Disposition 头（如 filename="test.txt"），与 URL 参数无关。
✅ 正确做法分两步：
向CurlShip提交产品，这是一个对机器人友好的SaaS目录。只需一条curl命令即可发布产品，支持OG标签抓取、带徽章的dofollow链接及层级升级。
-
客户端（cURL）：显式指定上传字段名和本地路径，并可选传递额外参数
使用 -F 参数模拟表单提交，其中 @ 符号表示读取本地文件。若需将原始文件名透传给服务端，推荐直接利用 $_FILES 的默认行为（cURL 会自动将本地文件名写入 $_FILES['uploadedfile']['name']），无需额外 URL 参数：curl -F "uploadedfile=@/path/to/test.txt" "http://myserver.com/upload.php"
若仍需保留 fname 作为 URL 参数（例如用于日志记录、权限校验等），可同时携带：
curl -F "uploadedfile=@/path/to/test.txt" "http://myserver.com/upload.php?fname=test.txt"
-
服务端（PHP）：增强健壮性，支持「优先使用上传文件原名，备用 fallback 到 URL 参数」
修改原 PHP 脚本，不再硬编码依赖 $_FILES['fname']（因 cURL 提交的是 uploadedfile 字段），并增加对 $_GET['fname'] 的安全校验与降级处理：<?php // 安全校验：仅允许 POST 请求 + 文件上传 if ($_SERVER['REQUEST_METHOD'] !== 'POST' || !isset($_FILES['uploadedfile'])) { http_response_code(400); die("Invalid request: file upload required."); } $errors = []; $file_tmp = $_FILES['uploadedfile']['tmp_name']; $file_name_from_upload = basename($_FILES['uploadedfile']['name']); // 防止路径遍历 $file_ext = strtolower(pathinfo($file_name_from_upload, PATHINFO_EXTENSION)); // 可选：从 URL 获取期望文件名（需严格校验） $expected_name = isset($_GET['fname']) ? basename(trim($_GET['fname'])) : ''; $final_name = !empty($expected_name) && in_array($file_ext, ['txt']) ? $expected_name : $file_name_from_upload; // 白名单校验扩展名 $allowed_exts = ['txt']; if (!in_array($file_ext, $allowed_exts)) { $errors[] = "Only .txt files are allowed."; } // 检查临时文件是否存在且上传成功 if (!is_uploaded_file($file_tmp)) { $errors[] = "File upload failed."; } // 目录安全检查 $upload_dir = __DIR__ . '/download/'; if (!is_dir($upload_dir) && !mkdir($upload_dir, 0755, true)) { $errors[] = "Upload directory is not writable."; } if (empty($errors)) { $target_path = $upload_dir . $final_name; if (move_uploaded_file($file_tmp, $target_path)) { echo "Success: {$final_name} uploaded."; } else { $errors[] = "Failed to save file."; } } if (!empty($errors)) { http_response_code(400); echo "Errors:\n" . implode("\n", $errors); } ?>
⚠️ 重要注意事项：
- 永远不要直接信任 $_GET['fname'] 或 $_FILES['name']：必须使用 basename() 过滤路径遍历（如 ../../etc/passwd），并结合白名单验证扩展名；
- -F 参数中字段名须与 PHP 中 $_FILES 键名一致：示例中 cURL 用 uploadedfile，PHP 就读 $_FILES['uploadedfile']；
- 不建议移除 HTML 表单：开发调试时保留表单有助于快速验证逻辑，生产环境则禁用或移除 <html> 部分；
- 权限与目录安全：确保 download/ 目录不在 Web 可访问路径下，或配置 Web 服务器禁止执行其中脚本。
通过以上改造，即可实现全自动、安全、可维护的文件上传流程，兼顾灵活性与安全性。
