应弃用原始文件名，改用随机字符串+时间戳+扩展名生成唯一安全文件名，并存于非Web可达的private磁盘路径，数据库中原始名仅作展示，读取时严格使用stored_path。
直接用 store() 或 storeAs() 默认生成的文件名（如 Yz9X2vQpR7T8KmN4BcE6JdF1GhI5LjO7.jpg）本身已规避重复问题，但若你手动拼接原始文件名、或依赖 $request->file('xxx')->getClientOriginalName()，就一定会撞重名。
为什么用原始文件名会出事
用户上传 avatar.jpg 一百次，你若不做处理就存成同名，后一次必然覆盖前一次；更糟的是，攻击者可构造恶意文件名（如 ../../.env）绕过基础校验。
-
getClientOriginalName()完全不可信，前端可任意伪造 - 即使加了
uniqid()，若没加随机盐或时间戳，高并发下仍可能重复 - 数据库里存原始名 + 唯一索引？不解决根本问题——文件系统层面已覆盖
storeAs() 的安全写法
必须丢掉原始名，用服务端可控方式生成唯一标识。推荐组合：随机字符串 + 时间戳 + 哈希扩展名。
- 别写
$file->storeAs('uploads', $file->getClientOriginalName()) - 改用：
$safeName = Str::random(24) . '_' . time() . '.' . strtolower($file->getClientOriginalExtension()); - 再调用：
$file->storeAs('uploads/documents', $safeName, 'private') - 如果已配置专用磁盘（如
uploads），直接传磁盘名即可，不用写完整路径
数据库里要不要存原始名
可以存，但必须和实际存储名解耦。原始名只作展示用，不参与文件读取逻辑。
- 字段设计示例：
original_name（varchar 255）、stored_path（text，存uploads/documents/abc123_xyz456.jpg） - 读取文件时永远用
stored_path，不要拼接public_path() . '/storage/' . $original_name - 若需下载时还原原始名，响应头里设
Content-Disposition: attachment; filename="xxx.jpg"，和存储路径无关
额外防线：存储目录权限与磁盘配置
光靠命名不够，得让文件即使被猜中路径也无法执行或遍历。
- 上传目录绝不能放在
public/下——应使用storage/app/private_uploads这类非 Web 可达路径 - 对应磁盘配置里，
'visibility' => 'private'是必须项，否则Storage::disk('private')->url()会失败或暴露敏感路径 - Linux 上执行：
chmod 755 storage/app/private_uploads，禁止写入权限给组和其他人 - Web 服务器（Nginx/Apache）要显式禁止对
storage/app/private_uploads的直接 HTTP 访问
最易被忽略的一点：很多人以为只要文件名唯一就安全了，其实漏掉了存储路径的隔离和磁盘 visibility 配置。一旦 visibility 设成 public，又把文件存在 storage/app/ 下，攻击者就能通过构造 URL 直接访问任意文件——这时候名字再随机也没用。
