php无法接收前端文件真实路径，因浏览器安全策略仅上传文件内容和元信息；正确做法是通过$_files数组处理上传文件，需设置enctype="multipart/form-data"并校验后用move_uploaded_file()保存。
PHP 无法直接接收前端传来的“文件路径”，这是由浏览器安全策略决定的——input[type="file"] 提交时，浏览器只发送文件内容和元信息（如 name、size、type），**绝不会发送用户本地磁盘的真实路径（如 C:\Users\Alice\Pictures\photo.jpg）**。所谓“接收路径”，实际是误解，真正能做的只有接收并处理上传的文件本身。
为什么 $_POST 或 $_GET 拿不到文件路径
现代浏览器（Chrome、Firefox、Edge 等）会主动屏蔽或伪造 input[type="file"] 的 value 值，例如显示为 C:\fakepath\photo.jpg 或仅保留文件名。即使前端用 JS 读取 fileInput.files[0].path，该属性在标准浏览器中也始终为 undefined（仅 Electron / Node.js 环境可用）。
- 前端 JavaScript 尝试获取真实路径：结果一定是
undefined或空字符串 - 通过
$_GET['path']或$_POST['path']试图接收路径参数：该参数根本不会存在，除非你手动拼接了文件名（非路径）并额外提交 - 服务端解析
$_FILES数组中的'tmp_name'：这是临时存储路径（如/tmp/phpabc123），属于服务器内部路径，与用户本地路径无关
PHP 正确接收和处理上传文件的步骤
必须依赖 $_FILES 超全局数组，且 HTML 表单需满足严格条件：
- 表单
enctype必须设为"multipart/form-data"（缺省的application/x-www-form-urlencoded会丢弃文件） -
<input type="file">必须有name属性（如name="avatar"），否则不会出现在$_FILES中 - PHP 配置需允许上传：
file_uploads = On，且upload_max_filesize和post_max_size足够大 - 上传后立即检查
$_FILES['avatar']['error'] === UPLOAD_ERR_OK，非零值表示失败（如UPLOAD_ERR_NO_FILE、UPLOAD_ERR_INI_SIZE）
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['avatar'])) {
$file = $_FILES['avatar'];
if ($file['error'] !== UPLOAD_ERR_OK) {
die('上传失败：' . $file['error']);
}
$tmpPath = $file['tmp_name']; // 服务器临时路径，仅本次请求有效
$originalName = $file['name']; // 原始文件名（无路径）
$mimeType = $file['type']; // 浏览器声称的 MIME 类型（不可信）
$size = $file['size']; // 字节数
// 安全处理：校验扩展名、MIME、内容，再 move_uploaded_file
$ext = strtolower(pathinfo($originalName, PATHINFO_EXTENSION));
if (!in_array($ext, ['jpg', 'jpeg', 'png', 'gif'])) {
die('不支持的文件类型');
}
if (move_uploaded_file($tmpPath, '/var/www/uploads/' . uniqid() . '.' . $ext)) {
echo '上传成功';
}
}
如果真需要“路径语义”，只能靠前端传文件名 + 后端拼接
某些业务场景（如 CMS 上传后生成资源 URL）需要构造可访问路径，但这个“路径”是服务端定义的相对/绝对 URL，不是用户本地路径：
立即学习“PHP免费学习笔记（深入）”；
- 前端可额外提交一个隐藏字段，如
<input type="hidden" name="category" value="user_avatar">，用于分类存储 - 后端根据业务规则生成唯一文件名（避免覆盖/注入），例如：
sha1_file($tmpPath) . '.' . $ext - 存储路径应使用白名单目录（如
./uploads/），禁止拼接用户输入的路径片段（防目录遍历） - 对外提供访问时，用 Web 可达 URL（如
https://example.com/uploads/abc123.jpg），而非服务器绝对路径
注意：move_uploaded_file() 是唯一安全的文件落地方式，copy() 或 file_put_contents(file_get_contents()) 会绕过上传校验，导致安全风险。
常见错误与绕过尝试的后果
试图用非常规手段“还原路径”不仅无效，还引入漏洞：
- 用
$_POST['fakepath']接收浏览器伪造的C:\fakepath\...字符串：毫无价值，且不同浏览器格式不一 - 前端 JS 读取
input.files[0].webkitRelativePath（仅 Chrome 支持多文件拖拽目录）：返回的是虚拟相对路径（如folder/photo.jpg），无磁盘信息，且兼容性极差 - 用
$_FILES['x']['tmp_name']直接当永久路径用：该文件在请求结束后即被 PHP 清理，下次访问 404 - 将用户提交的
filename直接拼进file_put_contents('./uploads/' . $_POST['filename'])：导致路径遍历（如传../../etc/passwd）或文件覆盖
真正的路径处理，只发生在服务端可控范围内：生成唯一标识、校验内容、存入预设目录、返回 Web URL。任何试图触碰用户本地路径的行为，从设计上就走错了方向。
