ThinkPHP 8.0 文件上传核心是使用内置 UploadFile 类，必须通过闭包设置 saveName 实现安全命名（如时间戳+uniqid+清洗后原文件名+小写扩展名），禁用数组语法；需启用 fileinfo 扩展、设置上传目录写权限、严格校验大小/后缀/MIME，并避免中文名与路径遍历风险。
ThinkPHP 8.0 实现文件上传，核心是使用框架内置的 UploadFile 类，配合严格的安全控制和命名规范。它不支持旧版数组式命名写法，也不自动处理中文名或路径遍历风险，必须手动校验和清洗。
基础上传流程（三步走）
上传不是“接收文件”就结束，而是一套闭环操作：
- 接收请求中的文件对象：
$file = $this->request->file('file');（注意字段名要与表单name="file"一致） - 验证文件合法性：大小、后缀、MIME 类型（推荐用
validate()+ 规则字符串） - 调用
move()方法保存，传入目标目录路径（绝对路径）和自定义命名逻辑
安全命名必须用闭包
TP8 的 saveName 只接受字符串或闭包，数组写法（如 ['uniqid', '']）已失效。闭包能确保每次上传都生成唯一、合法、无风险的文件名：
- 必须用
pathinfo($file->getOriginalName(), PATHINFO_EXTENSION)获取原始扩展名 - 对原文件名做截断（
mb_substr(..., 0, 32)）和非法字符清洗（preg_replace('/[^\w\-\.]/', '_', $name)） - 避免直接拼接用户输入，禁止返回含路径（如
../）、空格、中文的字符串 - 示例：
$upload->saveName = function($file) { $ext = strtolower(pathinfo($file->getOriginalName(), PATHINFO_EXTENSION)); return date('YmdHis') . '_' . uniqid('', true) . '.' . $ext; };
关键前置条件不能漏
上传失败常因环境配置缺失，而非代码问题：
立即学习“PHP免费学习笔记（深入）”；
-
fileinfo 扩展必须启用：Windows 下检查 CLI 和 Web 环境的 php.ini 是否都开启
extension=fileinfo，并确认php_fileinfo.dll存在 - 上传目录需有写权限（如
runtime/upload/），且不在public/下直连可访问 - PHP 配置项需匹配业务需求：
upload_max_filesize、post_max_size、max_execution_time - 若用宝塔部署，务必关闭「防跨站攻击（open_basedir）」，否则
move()会静默失败
常见问题应对
上传后拿不到错误？数据错位？文件名乱码？这些往往源于细节疏忽：
-
$file->getError()返回空，大概率是fileinfo未启用，导致 MIME 校验跳过 - 中文原文件名直接用于保存会失败（Linux 下报
Invalid argument），必须清洗或弃用 - 上传到 OSS 或 COS 等远程存储，不能直接
move()，需先存本地临时路径，再用 SDK 上传，最后删临时文件 - 大文件（>10MB）建议配合前端分片上传，后端做合并与校验，避免超时和内存溢出
