ThinkPHP上传中文文件名乱码的根本原因是PHP将浏览器UTF-8 URL编码的文件名误按Latin-1解析，导致字节错位；应先urldecode再用mb_convert_encoding('UTF-8','auto')还原，失败则fallback GBK，校验UTF-8有效性后安全重命名。
ThinkPHP 上传中文文件名乱码，不是编码没设对，而是 $_FILES['file']['name'] 这个值在 PHP 接收时就已经被错误解码了——浏览器传的是 UTF-8 URL 编码，PHP 却按 Latin-1 当原始字节处理，导致字符串内部字节错位。直接 iconv('UTF-8', 'GB2312', ...) 会失败，因为输入根本不是合法 UTF-8 字节流。
$_FILES['name'] 为什么一打印就是问号或“涓枃.txt”
Chrome/Firefox 提交文件名时，会先用 UTF-8 编码再做 URL 编码（如 %E4%B8%AD%E6%96%87.txt），PHP 的 $_FILES 数组在接收后已自动 urldecode()，但没指定原始编码，就当成 Latin-1 解释，结果每个中文字符变成 2–3 个无效 Latin-1 字节，mb_detect_encoding() 常误判为 ASCII 或直接返回 false。
- 不要用
mb_detect_encoding($name, ['UTF-8', 'GBK'], true)—— 它在乱码字节上不可靠，容易误判 - 不要硬写
iconv('UTF-8', 'GBK', $name)—— 输入不是 UTF-8，iconv直接返回 false - 别依赖
$_SERVER['HTTP_USER_AGENT']判断浏览器类型来分流处理 —— UA 字符串易伪造、版本迭代快、旧 IE 已淘汰
ThinkPHP 5/6 中推荐的修复流程
在控制器里处理上传前，对 $_FILES['file']['name'] 做标准化还原，而不是改框架源码（如 think/library/think/File.php）。这样更可控、可测试、不耦合框架升级。
- 先
urldecode()：虽然 PHP 已做一次，但某些代理或 Nginx 配置可能干扰，显式再解一次更稳妥 - 用
mb_convert_encoding($name, 'UTF-8', 'auto')尝试自动识别并转成 UTF-8；若失败，fallback 到mb_convert_encoding($name, 'UTF-8', 'GBK') - 加一层校验：
if (!mb_check_encoding($name, 'UTF-8') || $name === '' || preg_match('/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]/u', $name))，不通过就生成安全文件名（如upload_'.date('YmdHis').'_'.mt_rand(100, 999).'.bin'） - 保存时，路径和文件名全程用 UTF-8 字符串操作，不要中途再
iconv回 GBK —— 现代 Linux/macOS 文件系统原生支持 UTF-8 文件名，Windows WSL2 也无问题
move_uploaded_file() 保存失败或报 “No such file or directory”
这个错误常被误认为是路径问题，实际多因目标目录名含中文且编码不一致。例如你用 UTF-8 名字拼出 upload/测试.txt，但 PHP 内部把 upload/ 当作 GBK 字节去查找目录，结果找不到。
立即学习“PHP免费学习笔记（深入）”；
- 确保上传目录本身用英文命名（如
upload/），避免目录名参与编码转换 - 检查 Web 服务器（Nginx/Apache）是否禁用了非 ASCII 路径访问 —— Nginx 默认允许，Apache 需确认未启用
mod_security的路径规则拦截 - 调用
move_uploaded_file()前，用var_dump(realpath('upload'))和is_dir('upload')验证路径有效性，而非只看字符串拼接结果 - 如果必须保留中文目录名，统一用
iconv('UTF-8', 'GBK//IGNORE', $dirname)转换整个路径（仅限 Windows 环境），Linux 下禁止这么做
真正麻烦的不是转码逻辑，而是不同环境对“UTF-8 文件名”的支持程度不一：Windows 传统 API 默认用 ANSI（GBK），而 PHP 的 fopen/move_uploaded_file 在 Windows 上底层调用的是 ANSI 版本函数，所以即使你传入 UTF-8 字符串，也会被 CRT 库静默转码 —— 这才是为什么有些方案要求“先转 GBK 再保存”。绕过它的唯一干净方式，是彻底放弃中文文件名落地，用 UUID 或时间戳重命名，只把原始名存在数据库字段里供展示。
