ThinkPHP不直接支持前端直传第三方存储，需通过前端直传（推荐）、后端中转或SDK上传实现；无论哪种方式，都必须校验文件大小、类型、MIME及远程地址白名单，并对回调接口验签。
ThinkPHP 本身不直接支持“远程上传”（即前端直传第三方存储如阿里云 OSS、腾讯云 COS 或七牛），它默认是将文件先上传到本机服务器，再由后端转发。所谓“远程上传”，实际分两类场景：一是前端直传第三方对象存储（推荐）；二是后端用 cURL 或 SDK 将已上传的本地文件再发给远程接口。下面按实用路径说明。
前端直传第三方存储（最安全高效）
避免文件经过你的服务器中转，减轻带宽与磁盘压力，也规避了 PHP 上传限制（如 upload_max_filesize）。以阿里云 OSS 为例：
- 前端生成临时 STS Token 和签名策略，调用 OSS 的
putObject直传文件 - 后端只需提供一个接口，返回预签名凭证（有效期短、权限最小化）
- 上传成功后，OSS 触发回调（Callback）到你指定的 ThinkPHP 接口，用于落库存储路径、校验等
- 无需修改 ThinkPHP 文件上传逻辑，根本不用 request()->file()
后端中转上传（兼容旧架构）
若必须走服务端中转（例如对接内部 API 或无 CORS 权限的远程服务），可用 cURL 或官方 SDK：
- 先用
request()->file('xxx')接收文件，保存到临时目录（如runtime/temp/） - 读取临时文件内容，构造 multipart/form-data 请求，用
curl_init()发送到目标 URL - 注意：PHP 5.6+ 推荐用
CURLFile类，避免过时的@filepath语法 - 上传完成后，务必 unlink() 临时文件，防止磁盘占满
使用 SDK 调用云存储（推荐折中方案）
比裸 cURL 更稳定，适合需要后端控制流程的场景（如重命名、异步处理）：
立即学习“PHP免费学习笔记（深入）”；
- 安装对应 SDK，如
composer require alibabacloud/oss-sdk-php - 在控制器中读取上传文件流：
$stream = fopen($file->getRealPath(), 'r') - 调用
$ossClient->putObject()上传，传入 bucket、key（如avatars/20260921/xxx.jpg）和 stream - 成功后返回外网可访问 URL，本地不存文件
关键安全提醒
无论哪种方式，都不可跳过基础防护：
- 前端表单仍需
enctype="multipart/form-data"，但仅作触发，不依赖其传输最终数据 - 后端接收时仍要 validate：大小、扩展名、MIME 类型（防伪造图片马）
- 远程地址必须白名单校验，禁止用户可控参数拼接 URL
- 回调接口需验签（如 OSS Callback 的
Authorization头）
