PHP-загрузка файлов: примеры кода и рекомендации

Расширенные примеры загрузки файлов

1. Загрузка одного файла с полной проверкой и логированием

<?php
function uploadFile(array $file, string $targetDir, array $allowedMimes, int $maxSize): string
{
    if ($file['error'] !== UPLOAD_ERR_OK) {
        throw new RuntimeException('Ошибка загрузки: ' . $file['error']);
    }
    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    $mime = finfo_file($finfo, $file['tmp_name']);
    finfo_close($finfo);
    if (!in_array($mime, $allowedMimes)) {
        throw new RuntimeException('Недопустимый MIME-тип: ' . $mime);
    }
    if ($file['size'] > $maxSize) {
        throw new RuntimeException('Размер файла превышает ' . ($maxSize / 1024 / 1024) . ' MB');
    }
    $ext = pathinfo($file['name'], PATHINFO_EXTENSION);
    $newName = md5(uniqid(mt_rand(), true)) . '.' . $ext;
    $dest = $targetDir . '/' . $newName;
    if (!move_uploaded_file($file['tmp_name'], $dest)) {
        throw new RuntimeException('Не удалось переместить файл');
    }
    return $dest;
}

try {
    $path = uploadFile($_FILES['file'], __DIR__ . '/uploads', ['image/jpeg', 'image/png'], 2*1024*1024);
    echo "Файл сохранён: " . htmlspecialchars($path);
} catch (RuntimeException $e) {
    echo 'Ошибка: ' . $e->getMessage();
}
?>

// Результат (успех):
Файл сохранён: /var/www/uploads/a1b2c3d4e5f6.jpg
// Результат (ошибка):
Ошибка: Недопустимый MIME-тип: application/x-php

2. Загрузка нескольких файлов с переименованием и статистикой

<?php
$targetDir = __DIR__ . '/uploads';
$files = $_FILES['files'];
$success = 0;
$errors = [];
for ($i = 0; $i < count($files['name']); $i++) {
    if ($files['error'][$i] === UPLOAD_ERR_OK) {
        $ext = pathinfo($files['name'][$i], PATHINFO_EXTENSION);
        $newName = uniqid() . '.' . $ext;
        $dest = $targetDir . '/' . $newName;
        if (move_uploaded_file($files['tmp_name'][$i], $dest)) {
            $success++;
        } else {
            $errors[] = 'Не удалось сохранить ' . $files['name'][$i];
        }
    } else {
        $errors[] = 'Ошибка загрузки ' . $files['name'][$i] . ': код ' . $files['error'][$i];
    }
}
echo "Загружено успешно: $success";
if ($errors) {
    echo "<br>Ошибки:<br>" . implode('<br>', $errors);
}
?>

Загружено успешно: 3
Ошибки:
Ошибка загрузки readme.txt: код 4 (файл не выбран)

3. Определение MIME-типа с помощью finfo и mime_content_type (резервный метод)

<?php
$filePath = $_FILES['file']['tmp_name'];
if (function_exists('finfo_open')) {
    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    $mime = finfo_file($finfo, $filePath);
    finfo_close($finfo);
} elseif (function_exists('mime_content_type')) {
    $mime = mime_content_type($filePath);
} else {
    // fallback: расширение (ненадёжно)
    $ext = pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION);
    $mime = mime_by_extension($ext); // пользовательская функция
}
echo "Определён MIME: $mime";
?>

Определён MIME: image/png

4. Отправка файла на другой сервер через cURL (прокси-загрузка)

<?php
$sourceFile = $_FILES['file']['tmp_name'];
$targetUrl = 'https://remote-server.com/upload.php';
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, $targetUrl);
curl_setopt($ch, CURLOPT_POST, true);
curl_setopt($ch, CURLOPT_POSTFIELDS, [
    'file' => new CURLFile($sourceFile, $_FILES['file']['type'], $_FILES['file']['name'])
]);
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
$response = curl_exec($ch);
curl_close($ch);
echo "Ответ сервера: " . htmlspecialchars($response);
?>

Ответ сервера: {"status":"ok","filename":"photo.jpg"}

5. Валидация с помощью Exif (для изображений) и проверка на наличие PHP-кода

<?php
// Для JPEG дополнительно можно проверить, что файл является изображением
if (function_exists('exif_imagetype')) {
    $imageType = exif_imagetype($_FILES['file']['tmp_name']);
    if (!in_array($imageType, [IMAGETYPE_JPEG, IMAGETYPE_PNG])) {
        die('Файл не является изображением');
    }
}
// Проверка на наличие PHP-тегов (не панацея, но дополнительный барьер)
$content = file_get_contents($_FILES['file']['tmp_name']);
if (stripos($content, '<?php') !== false) {
    die('Файл содержит PHP-код');
}
?>

// Если загружен корректный JPEG, никакого вывода, продолжение скрипта.
// Если загружен файл с PHP-кодом: 'Файл содержит PHP-код'