Пользовательские файлы: эффективные подходы в PHP

Как организовать безопасную загрузку файла на сервер с проверками?

Основной и наиболее эффективный способ загрузки файла пользователя в PHP - использование суперглобального массива $_FILES с последующей проверкой типа, размера, генерацией уникального имени и безопасным перемещением с помощью функции move_uploaded_file(). Этот метод надёжен и рекомендован официальной документацией.

Пример реализации:

<?php
// конфигурация
$targetDir = 'uploads/';
$maxFileSize = 2 * 1024 * 1024; // 2 MB
$allowedTypes = ['image/jpeg', 'image/png', 'image/gif'];
$allowedExtensions = ['jpg', 'jpeg', 'png', 'gif'];

if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['avatar'])) {
    $file = $_FILES['avatar'];
    
    if ($file['error'] !== UPLOAD_ERR_OK) {
        die('Ошибка загрузки: ' . $file['error']);
    }
    
    if ($file['size'] > $maxFileSize) {
        die('Файл слишком большой');
    }
    
    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    $mimeType = finfo_file($finfo, $file['tmp_name']);
    finfo_close($finfo);
    
    if (!in_array($mimeType, $allowedTypes)) {
        die('Недопустимый тип файла');
    }
    
    $extension = strtolower(pathinfo($file['name'], PATHINFO_EXTENSION));
    if (!in_array($extension, $allowedExtensions)) {
        die('Недопустимое расширение');
    }
    
    $newName = uniqid('avatar_', true) . '.' . $extension;
    $targetPath = $targetDir . $newName;
    
    if (move_uploaded_file($file['tmp_name'], $targetPath)) {
        echo 'Файл успешно загружен: ' . htmlspecialchars($newName);
    } else {
        echo 'Ошибка перемещения файла';
    }
}
?>

В данном примере проверка MIME-типа осуществляется через finfo, что определяет реальный тип по содержимому, а не по расширению. Уникальное имя генерируется функцией uniqid() с флагом more_entropy. Перемещение выполняется через move_uploaded_file(), которая гарантирует, что файл был загружен через HTTP POST.