GD扩展未启用会导致imagecreatefromjpeg等函数报错，需安装并重启服务；$_FILES['type']不可信，应使用getimagesize()校验真实类型；imagecopyresampled参数顺序易错，裁剪坐标须非负且目标画布需用imagecreatetruecolor；PNG/GIF透明需关闭alphablending并启用savealpha。
GD库没启用就调用imagecreatefromjpeg直接报错
PHP 8.0+ 默认不启用 GD 扩展，imagecreatefromjpeg这类函数一调就抛 Call to undefined function。这不是代码问题，是环境缺失。先运行 php -m | grep gd 确认是否加载；若无输出，Debian/Ubuntu 执行 sudo apt install php-gd，Alpine 用 apk add php82-gd，Windows 则检查 php.ini 中 extension=gd 是否取消注释。改完必须重启 PHP-FPM 或 Apache，否则无效。
别信$_FILES['file']['type']，用getimagesize()验真实类型
浏览器传来的 $_FILES['file']['type']（如 image/jpeg）可被任意篡改，仅靠它过滤等于裸奔。攻击者上传一个带 PHP 木马的 GIF 文件，只要 MIME 字段写成 image/gif，就可能绕过校验。正确做法是：用 getimagesize($_FILES['file']['tmp_name']) 读取文件头，返回的 $info[2] 是 IMAGETYPE_JPEG 这类常量，不可伪造。同时检查 $info[2] 是否在白名单里（IMAGETYPE_JPEG、IMAGETYPE_PNG、IMAGETYPE_GIF），并确认 $_FILES['file']['error'] === UPLOAD_ERR_OK 且大小未超限。
imagecopyresampled()参数顺序和坐标边界容易出错
裁剪时最常踩坑的是 imagecopyresampled($dst, $src, $dst_x, $dst_y, $src_x, $src_y, $dst_w, $dst_h, $src_w, $src_h) 的参数顺序——尤其 $src_x 和 $src_y 是源图上的起始坐标，不是目标图位置。如果原始图宽高是 800×600，要居中裁成 400×400，$src_x 应为 (800 - 400) / 2 = 200，$src_y 为 (600 - 400) / 2 = 100。这两个值必须 ≥ 0，否则 GD 静默失败或输出黑块；若原始图比目标还小，得提前判断并跳过裁剪。另外，目标画布必须用 imagecreatetruecolor() 创建，不能用 imagecreate()，否则透明 PNG 会变黑。
保存前漏掉imagealphablending()和imagesavealpha()
PNG 或 GIF 带透明通道的图，加载后直接缩放再保存，透明区域大概率变成黑色或灰色。原因在于 GD 默认开启颜色混合（imagealphablending），会把 alpha 信息跟背景色强行合成。修复方式很固定：创建目标画布后，立刻执行 imagealphablending($dst, false) 关闭混合，再调用 imagesavealpha($dst, true) 保留 alpha 通道，最后用 imagepng() 输出。JPEG 不支持透明，所以对 JPEG 操作这一步可跳过；但如果你统一走 PNG 输出流程，就必须加这两行，否则用户上传的带透明 logo 就废了。
立即学习“PHP免费学习笔记（深入）”；
真正难的不是写出裁剪逻辑，而是每一步都得同时兼顾安全校验、GD 特性限制和图像语义——比如 getimagesize() 能防木马，但无法检测文件末尾嵌入的 PHP 代码；imagecopyresampled() 能保质量，但坐标算错一像素就偏移。这些细节不写进代码里，上线后就是静默故障或安全缺口。
