move_uploaded_file返回false主因是环境配置问题：临时文件路径无效、目标目录无写权限、open_basedir限制、非绝对路径或上传阶段已出错（如UPLOAD_ERR_INI_SIZE）；须先验证$_FILES['error']===UPLOAD_ERR_OK，再用绝对路径并确保父目录可写。
move_uploaded_file 会失败的常见原因
直接调用 move_uploaded_file 却返回 false，八成不是函数写错了，而是环境或路径没配对。它本质是个“带安全检查的 rename”，只接受 $_FILES 中的临时文件路径作为源，且目标目录必须存在、有写权限、不能跨文件系统（比如从 /tmp 移到 NFS 挂载点可能失败）。
- 检查
$_FILES['field_name']['error']是否为UPLOAD_ERR_OK，非零值说明上传阶段已出错（如超限、无文件、临时目录不可写） - 确认目标路径是**绝对路径**，相对路径容易因脚本执行位置不同而失效；用
__DIR__ . '/uploads/'比'uploads/'可靠 - 目标目录需手动创建并设好权限：
chmod 755 uploads/（Web 用户需有写权限，但不建议 777） - PHP 配置中
open_basedir若启用，必须包含临时目录（如/tmp）和目标目录，否则拒绝操作
正确写法：先验证再移动
别一上来就 move_uploaded_file，得把上传状态、文件类型、大小、路径全兜住。尤其注意 $_FILES 是多维数组，字段名要和 HTML 表单的 name 严格一致。
$file = $_FILES['avatar'] ?? null;
if (!$file || $file['error'] !== UPLOAD_ERR_OK) {
die('上传失败：' . $file['error']);
}
$targetDir = __DIR__ . '/uploads/';
if (!is_dir($targetDir) && !mkdir($targetDir, 0755, true)) {
die('目标目录不可写');
}
$extension = pathinfo($file['name'], PATHINFO_EXTENSION);
$safeName = uniqid() . '.' . strtolower($extension);
$targetPath = $targetDir . $safeName;
if (move_uploaded_file($file['tmp_name'], $targetPath)) {
echo "已保存为：$targetPath";
} else {
die('移动失败：检查 tmp_name 是否有效、目标路径是否可写');
}
为什么不能用 copy 或 rename 替代？
move_uploaded_file 的核心价值是安全隔离——它内部会校验源路径是否来自 $_FILES 的临时上传区。绕过它直接用 copy 或 rename，等于把 $_FILES['tmp_name'] 当普通路径暴露，攻击者可能伪造该路径指向任意服务器文件（如 /etc/passwd），造成文件读取或覆盖漏洞。
-
copy($_FILES['x']['tmp_name'], $dst)→ 不安全，PHP 不校验来源 -
rename($_FILES['x']['tmp_name'], $dst)→ 同样跳过安全检查，且跨分区必失败 -
move_uploaded_file($_FILES['x']['tmp_name'], $dst)→ 唯一被 PHP 官方认可的安全移动方式
上传大文件时的额外限制
即使 move_uploaded_file 本身不卡大小，但上传流程早被 PHP 和 Web 服务器拦下了。必须同步调整三处：
立即学习“PHP免费学习笔记（深入）”；
- PHP 配置：
upload_max_filesize（单文件上限）、post_max_size（整个 POST 数据上限，需 ≥ 前者）、max_execution_time（避免超时中断） - Web 服务器：Nginx 要设
client_max_body_size，Apache 要调LimitRequestBody - 表单 HTML 必须含
enctype="multipart/form-data"，否则$_FILES为空
改完记得重启 PHP-FPM 和 Web 服务，光改 php.ini 不生效是常事。
临时文件生命周期极短，move_uploaded_file 必须在当前请求内完成，别想着存下 tmp_name 下次再处理——下次请求时文件早被清理了。
