HTML的<input type="file">仅能选择本地文件，无法直接上传或写入服务器目录；真正存储路径（如隐藏目录）必须由后端代码通过权限控制、路径隔离和访问拦截来安全实现。
HTML 本身不能把文件上传到服务器上的任何目录，更不可能指定“隐藏目录”——它连服务器文件系统都碰不到。
为什么 <input type="file"> 不能直接写入服务器目录
浏览器里的 HTML 是纯客户端技术，<input type="file"> 只能选中本地文件、生成一个 File 对象或表单数据，真正写入服务器路径（比如 /var/www/uploads/.secret/）必须由后端代码完成。所谓“隐藏目录”，在 Web 语境里通常指以点开头（如 .backup）、不在 Web 根目录可公开访问的路径，或权限设为不可列目录（chmod 700），这些全靠服务端控制。
前端该怎么做：构造安全、可控的上传请求
你只需负责把文件可靠地发出去，其余交给后端。关键点是别暴露敏感逻辑：
- 不要在 HTML 或 JS 里硬编码目标路径（比如
action="/upload?to=.hidden_dir"），这等于把服务器结构泄露给用户 - 用
FormData发送，避免直接form action暴露参数；后端通过固定路由（如/api/upload）统一接收，再由业务逻辑决定存哪 - 如果需要区分上传类型（头像 / 日志 / 私有附件），用字段名或自定义 header（如
X-Upload-Context: private），而不是路径参数 - 确保表单
enctype="multipart/form-data"，否则文件内容不会被编码发送
后端怎么安全地存进“隐藏目录”（以 Node.js + Express 为例）
这是真正起作用的地方。假设你想把文件存到 /opt/myapp/.uploads/（注意开头的点和非 Web 可访问路径）：
立即学习“前端免费学习笔记（深入）”；
const fs = require('fs');
const path = require('path');
const multer = require('multer');
// 确保目录存在且权限受限（Linux/macOS 下建议 chmod 700 /opt/myapp/.uploads）
const uploadDir = path.join('/opt/myapp', '.uploads');
if (!fs.existsSync(uploadDir)) {
fs.mkdirSync(uploadDir, { mode: 0o700 });
}
const storage = multer.diskStorage({
destination: (req, file, cb) => cb(null, uploadDir), // ← 这里才是真正的“指定隐藏目录”
filename: (req, file, cb) => cb(null, Date.now() + '-' + file.originalname)
});
const upload = multer({ storage });
注意：multer 的 destination 必须是绝对路径，且运行 Node 进程的用户（如 www-data）要有写权限；若目录在 Web 根目录内（如 ./public/.hidden），还需在 Nginx/Apache 中显式禁止访问（例如 Nginx 加 location ^~ /.hidden { deny all; }）。
常见翻车点：你以为的“隐藏”，其实完全不隐
很多人以为加个点就是隐藏，但实际风险常出在几个地方：
- 把
.uploads放在public/下却没配 Web 服务器屏蔽规则 → 用户直接访问https://yoursite.com/.uploads/xxx.jpg就能下载 - 后端用相对路径拼接（如
./.uploads/），结果因工作目录变动写到了错误位置，甚至覆盖了配置文件 - 上传接口没鉴权，任何人都能 POST 文件到
/api/upload，等于开放了服务器写入入口 - 没校验文件类型和大小，传个超大 ZIP 或恶意 PHP 文件进去，可能触发解析或爆破磁盘
“隐藏目录”不是靠名字藏起来的，是靠路径隔离 + 权限控制 + 访问拦截三层共同实现的；前端只管发得对，别试图替后端做决定。
