首先启用php文件上传并配置相关参数，然后创建表单与处理脚本接收文件，接着验证文件类型与扩展名，重命名文件防止路径遍历，限制上传目录执行权限，最后设置大小与数量限制防范资源耗尽。
如果您在开发Web应用时需要让用户提交文件，例如上传PHP脚本或其他资源，必须正确配置文件上传功能并防范潜在安全风险。以下是实现PHP文件上传及保障系统安全的操作步骤：
一、启用并配置PHP文件上传功能
PHP默认支持文件上传，但需确保相关配置项已正确设置，以允许接收上传的文件。
1、打开php.ini配置文件，找到file_uploads指令，确认其值为On，表示允许文件上传。
2、检查upload_max_filesize参数，设置允许上传的最大文件尺寸，例如设为8M以支持较大文件。
立即学习“PHP免费学习笔记（深入）”；
3、调整post_max_size参数，确保其值大于或等于upload_max_filesize，以便完整接收POST数据。
4、确认临时目录upload_tmp_dir存在且Web服务器具有写权限，用于暂存上传文件。
5、重启Web服务器使配置生效，如Apache或Nginx服务。
二、编写文件上传表单与处理脚本
前端表单需使用正确的编码类型，后端脚本负责接收并存储文件，同时验证基本合法性。
1、创建HTML表单，设置enctype="multipart/form-data"，并包含type="file"的输入字段。
2、在处理脚本中通过$_FILES超全局数组获取上传文件信息，包括name、tmp_name、size和error。
3、检查$_FILES['file']['error']是否为0，表示上传过程中未发生错误。
4、使用move_uploaded_file()函数将临时文件移动到指定目录，避免直接使用用户上传路径。
5、设置目标目录权限为不可执行，防止恶意脚本被运行。
三、验证文件类型与扩展名
仅依赖客户端提供的文件扩展名容易被绕过，应结合多种方式判断真实文件类型。
1、从文件名提取扩展名后，比对白名单列表，仅允许预定义类型如.txt、.pdf等。
2、使用finfo_file()函数读取文件MIME类型，与预期值进行匹配，排除伪装成合法文件的恶意脚本。
3、禁止上传.php、.phtml、.phps等可执行脚本文件，即使声称是文本格式也应拒绝。
4、对图像文件调用getimagesize()验证是否为有效图片，防止嵌入式攻击载荷。
四、重命名上传文件以防止路径遍历
保留原始文件名可能导致目录穿越或覆盖关键系统文件，应生成唯一名称存储。
1、使用uniqid()或hash_file()生成随机文件名，避免暴露原始名称。
2、将文件存储路径组合为安全目录加新名称，例如：/uploads/abc123xyz.php。
3、记录原始文件名与新名称的映射关系至数据库，供后续引用。
4、确保文件名不包含特殊字符或路径分隔符，防止../类注入尝试。
五、限制上传目录的执行权限
即使上传了恶意PHP文件，若目录无执行权限，则无法被服务器解析运行。
1、将上传目录置于Web根目录之外，或通过配置阻止脚本执行。
2、在Apache中添加.htaccess文件，写入php_flag engine off禁用PHP解析。
3、在Nginx配置中添加location块，匹配上传目录并设置fastcgi_intercept_errors on和deny all。
4、定期检查上传目录内容，监控是否存在可疑脚本文件。
六、设置文件大小与数量限制
防止用户上传过大文件耗尽服务器资源，或通过大量小文件进行拒绝服务攻击。
1、在表单处理逻辑中检查$_FILES['file']['size']，超过阈值则终止操作。
2、设定单次请求最多允许上传5个文件，避免批量上传滥用。
3、在session中记录用户上传频率，单位时间内超过次数限制则暂停服务。
4、结合JavaScript前端校验，在提交前提示用户文件大小超出范围。
