PHP 8.5 中 move_uploaded_file 还能直接用吗？
能，完全能。PHP 8.5 并未废弃或修改 move_uploaded_file 的行为，它和 PHP 7.4–8.4 的逻辑一致——仍是处理上传文件最安全、最推荐的方式。但前提是：你得确保上传流程本身没被新版本的默认配置“悄悄拦住”。
常见错误现象：move_uploaded_file 返回 false，且 error_get_last() 提示 “No such file or directory”，其实不是路径问题，而是 $_FILES 里压根没数据——上传根本没进到 PHP 这一层。
- 检查
php.ini是否仍启用file_uploads = On（PHP 8.5 默认仍是On，但某些 Docker 镜像或自定义编译环境可能关掉） -
upload_max_filesize和post_max_size必须 ≥ 你预期的文件大小；PHP 8.5 对超限请求更严格，会直接丢弃整个$_POST和$_FILES - 表单
<form></form>必须带enctype="multipart/form-data"，漏写是高频翻车点
上传失败时怎么快速定位是哪一步断的？
别急着改 move_uploaded_file 参数，先确认 $_FILES 是否健康。PHP 8.5 把部分上传错误码语义化得更清晰了，比如 UPLOAD_ERR_NO_FILE 明确表示“用户根本没选文件”，而不是笼统报错。
- 打印
$_FILES['my_file']全量结构，重点看error值：0才代表成功上传到临时目录 - 若
error是UPLOAD_ERR_INI_SIZE或UPLOAD_ERR_FORM_SIZE，说明被 php.ini 或表单MAX_FILE_SIZE限制拦截了，不是代码问题 -
tmp_name字段为空或不是真实路径（如""或"/tmp/phpXXXXXX"但对应文件不存在），基本可判定上传阶段已失败
move_uploaded_file 的目标路径要注意什么？
PHP 8.5 没放宽对路径的校验，反而在启用了 open_basedir 或 disable_functions 时失败得更干脆。它只做两件事：检查源文件是否来自 $_FILES（防 LFI）、检查目标目录是否可写。
立即学习“PHP免费学习笔记（深入）”；
部分功能简介：商品收藏夹功能热门商品最新商品分级价格功能自选风格打印结算页面内部短信箱商品评论增加上一商品，下一商品功能增强商家提示功能友情链接用户在线统计用户来访统计用户来访信息用户积分功能广告设置用户组分类邮件系统后台实现更新用户数据系统图片设置模板管理CSS风格管理申诉内容过滤功能用户注册过滤特征字符IP库管理及来访限制及管理压缩，恢复，备份数据库功能上传文件管理商品类别管理商品添加/修改/
- 目标路径必须是**绝对路径**，相对路径（如
"uploads/xxx.jpg"）依赖当前工作目录，线上环境极易出错；推荐用__DIR__ . '/uploads/' . $filename - 目标目录需 PHP 进程有写权限，Linux 下常因用户（如
www-data）和目录属主不一致导致失败，别只 chmod 755 就完事 - 不要拼接用户输入的文件名直接当
$filename，move_uploaded_file不过滤路径遍历，../../../etc/passwd这类输入会直接写穿目录
示例安全写法：
$uploadDir = __DIR__ . '/uploads/';
$ext = pathinfo($_FILES['avatar']['name'], PATHINFO_EXTENSION);
$safeName = bin2hex(random_bytes(8)) . '.' . strtolower($ext);
$targetPath = $uploadDir . $safeName;
if (move_uploaded_file($_FILES['avatar']['tmp_name'], $targetPath)) {
echo "上传成功：$targetPath";
} else {
echo "move_uploaded_file 失败，检查 tmp_name 是否有效、目录权限是否正确";
}
PHP 8.5 新增的 is_uploaded_file 还有必要用吗？
有必要，但不是必须套在 move_uploaded_file 前——它只是个“确认来源合法”的开关，而 move_uploaded_file 内部已经做了同样检查。多调一次只是多一次 stat() 系统调用，无实质增强。
真正该用它的场景，是你需要在移动前做其他判断（比如记录日志、预检文件类型），又怕别人伪造 $_FILES['x']['tmp_name'] 路径来骗过后续逻辑。
- 如果只为了“保险起见”而加
is_uploaded_file再调move_uploaded_file，纯属冗余 - 若你用
file_get_contents($_FILES['x']['tmp_name'])或fopen直接读临时文件，这时is_uploaded_file就是必须的，否则存在 LFI 风险 - PHP 8.5 下它返回布尔值的行为没变，但传入非字符串或空字符串会触发
TypeError，注意判空
上传路径拼接、临时文件校验、权限与配置联动——这些环节在 PHP 8.5 里没变简单，反而因默认更严格的错误提示，让原来被忽略的配置偏差立刻暴露出来。
