ThinkPHP中判断文件存在首选file_exists()，需用绝对路径；Windows下需额外校验大小写；上传文件须结合错误码、is_uploaded_file()及file_exists()三重验证；用户输入路径必须过滤目录穿越并限定访问范围。
ThinkPHP 中判断文件是否存在，核心仍是 PHP 原生的 file_exists()，但需注意几个关键场景：Windows 下大小写敏感性、上传临时文件路径有效性、以及框架上下文中的安全校验逻辑。直接用 file_exists($path) 多数情况下可行，但遇到部署差异或安全加固时容易失效。
基础存在性判断（推荐优先使用）
对普通静态文件（如配置、模板、资源文件），直接调用 PHP 内置函数即可：
-
file_exists($path)是最常用且可靠的方式，返回布尔值 - 确保
$path是绝对路径（建议用ROOT_PATH或public_path()拼接），避免相对路径歧义 - 若需区分“是文件”还是“是目录”，改用
is_file($path)或is_dir($path)
Windows 环境下区分大小写的精准判断
在 Windows 开发环境（尤其开启 APP_DEBUG）中，file_exists() 默认不区分大小写，可能误判 logo.PNG 和 logo.png。此时需手动校验文件名一致性：
- 先确认是真实文件：
if (!is_file($filename)) return false; - 再比对原始文件名与真实路径 basename：
basename(realpath($filename)) === basename($filename) - 该逻辑已封装为辅助函数
file_exists_case()，仅在 Windows + 调试模式下启用二次校验
上传文件临时路径的有效性验证
处理用户上传时，不能只依赖 $_FILES['xxx']['tmp_name'] 字符串存在就认为文件可用。必须结合状态码和路径真实性双重确认：
立即学习“PHP免费学习笔记（深入）”；
- 第一步：检查上传错误码
$_FILES['file']['error'] === UPLOAD_ERR_OK - 第二步：用
is_uploaded_file($_FILES['file']['tmp_name'])验证是否为合法上传临时文件（防路径遍历伪造） - 第三步：再调用
file_exists($_FILES['file']['tmp_name'])确保文件未被清理 - ThinkPHP 的
think\File实例内部已自动执行前两步，调用$file->isValid()即可覆盖全部校验
下载/查看前的安全路径过滤
当文件路径来自用户输入（如 URL 参数 ?file=avatar.jpg），必须防止目录穿越攻击。不能跳过过滤直接 file_exists()：
- 先用
basename($user_input)提取纯文件名，丢弃路径部分 - 限定允许的目录范围，例如只允许访问
ROOT_PATH . 'public/uploads/' - 拼接后再次用
file_exists()判断，同时建议配合is_file()排除符号链接风险 - ThinkPHP 6.x 中可借助
think\facade\File的verifyPath()方法做白名单路径校验
