应结合时间戳、随机字符串和用户标识构造唯一安全路径，如/uploads/users/20261102/abc7x9y2/；使用mkdir($path, 0755, true)递归创建，提前用is_writable()校验父目录权限，并通过is_dir()避免并发冲突。
上传前先生成唯一用户目录路径
用户上传文件时，不能直接用用户名或ID作为目录名（易被猜测、存在安全风险），推荐结合时间戳、随机字符串和用户标识构造路径。例如：
-
安全路径示例：
/uploads/users/20261102/abc7x9y2/（日期+随机ID） - 用
uniqid('', true)或bin2hex(random_bytes(8))生成不可预测的子目录名 - 避免使用
$_POST['username']或$_GET['id']直接拼接路径，防止路径遍历或越权访问
用 mkdir() 创建带权限的独立目录
创建目录必须显式指定 $mode，且第三个参数设为 true 才能递归建多级路径。Windows 下 $mode 无效，Linux/Unix 系统需特别注意：
- 推荐权限值为
0755：所有者可读写执行，组和其他用户仅读+执行（满足Web服务访问需要，又不开放写权限） - 代码写法：
mkdir($path, 0755, true)；注意前面的 0 不能省，必须是八进制写法 - 若返回
false，立即用error_get_last()查错误原因，常见是父目录不可写或磁盘满
确保父目录有写权限并验证存在性
PHP 进程（如 www-data、nginx、apache 用户）必须对目标父目录有写权限，否则 mkdir() 必然失败：
- 用
is_writable(dirname($path))提前检查父目录是否可写 - 若不可写，需在服务器上手动执行：
chown -R www-data:www-data /var/www/html/uploads和chmod -R 755 /var/www/html/uploads - 不要依赖
file_exists()判断目录是否存在——它对不存在的路径返回false，但更准确的是用is_dir($path)
并发场景下防止重复创建冲突
高并发上传（如多人同时注册并上传头像）可能触发多个请求几乎同时调用 mkdir()，导致失败或竞争。稳妥做法是加锁或静默忽略已存在错误：
立即学习“PHP免费学习笔记（深入）”；
- 创建前先
if (is_dir($path)) { /* 跳过 */ }，再尝试mkdir() - 或捕获失败后检查是否因“目录已存在”报错：
if (!is_dir($path) && !mkdir($path, 0755, true)) { /* 处理真实错误 */ } - 极端要求原子性时，可用
flock()对临时锁文件加锁，但多数业务场景无需这么重
