PHP 8.4 上传大小限制需协同配置 upload_max_filesize、post_max_size 和 memory_limit（如 8M/10M/128M），同步调整 Nginx 的 client_max_body_size 或 Apache 相应设置，并在代码层校验 $_FILES['error'] 和文件大小，配合上传目录禁执行、强制重命名与 MIME 白名单校验。
PHP 8.4 限制上传文件大小，核心不是“只设一个值”，而是构建多层防线——既堵住大文件耗尽资源的路径，又切断攻击者利用超大文件绕过校验、触发内存漏洞（如近期 CVE-2026-109618）的可能性。限制本身不难，关键在协同和落地。
改 php.ini：三个参数必须配平
这是最基础也最容易失效的一环。PHP 8.4 仍依赖这三个配置项，缺一不可：
-
upload_max_filesize：单个文件上限，建议设为
8M或更低（如业务只需头像/文档，2M 更安全）； -
post_max_size：必须 ≥ upload_max_filesize，推荐设为
10M（留出 POST 头和字段空间）； -
memory_limit：需 > post_max_size，例如
128M，避免解析大 POST 时内存溢出触发未清理状态（关联 CVE-2026-109618 风险）。
改完后务必重启 PHP-FPM（非仅 Apache/Nginx），否则无效。用 phpinfo() 页面确认值已生效，别只信配置文件。
同步调 Web 服务器限制
PHP 层设了，但 Nginx 或 Apache 若没跟上，请求根本到不了 PHP：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
-
Nginx：在
server或location块中加client_max_body_size 12M;（比 post_max_size 略大）； -
Apache（mod_php）：可用
.htaccess写php_value upload_max_filesize 8M和php_value post_max_size 10M； -
Apache（PHP-FPM）：.htaccess 无效，必须改
httpd.conf或虚拟主机配置，或直接靠 php.ini + FPM pool 设置。
代码层双重校验：不能只信配置
配置可能被绕过（如共享主机用户覆盖）、可能未生效、也可能被恶意 POST 头干扰。必须在 PHP 脚本开头显式检查：
- 检查
$_FILES['xxx']['error'] === UPLOAD_ERR_INI_SIZE或UPLOAD_ERR_FORM_SIZE，捕获配置级失败； - 再做应用级判断：
if ($_FILES['xxx']['size'] > 8 * 1024 * 1024) { die('文件太大'); }； - 结合 Laravel 等框架时，直接用
'max:8192'（单位 KB）规则，它会在 move 前拦截，更可靠。
配合安全策略压缩攻击面
限大小只是起点，降低上传漏洞风险还需配套动作：
- 上传目录禁止执行：Nginx 加
location ~ \.(php|phtml|phps)$ { deny all; }； - 强制重命名文件：弃用
$_FILES['xxx']['name']，用uniqid() . '.' . $ext； - 白名单校验类型：不用
$_FILES['xxx']['type']（客户端伪造），改用finfo_file()读取真实 MIME； - 日志记录所有上传行为：包括 IP、文件名、大小、时间，便于事后追溯异常大文件上传尝试。
