PHP 文件上傳核心機制深度解析：基於 RFC1867 標準的實現原理

前言

HTTP 文件上傳是 Web 應用的基礎功能。PHP 採用 RFC1867 標準（Form-based File Upload in HTML）實現文件上傳，本文從協議規範、瀏覽器行為、PHP 內核處理流程三個維度，深度解析 PHP 文件上傳的核心機制。

RFC1867 協議規範

RFC1867 對 HTML 表單做了兩項關鍵擴展：

1. 為 <input> 元素新增 type="file" 選項，允許使用者選擇本地文件。
2. 新增 accept 屬性，可指定可接受的文件類型列表。

同時定義了新的 MIME 類型 multipart/form-data，當表單包含 enctype="multipart/form-data" 及 <input type="file"> 時，瀏覽器將以此格式編碼提交數據。

表單範例

<form enctype="multipart/form-data" action="upload.php" method="post">
  <input type="hidden" name="MAX_FILE_SIZE" value="5000">
  選擇文件: <input name="userfile" type="file">
  文件描述: <input name="description" type="text">
  <input type="submit" value="上傳">
</form>

MAX_FILE_SIZE 是 PHP 定義的隱藏欄位，用於建議瀏覽器限制上傳大小，但僅為客戶端提示，不可信任，伺服端必須再次驗證。

瀏覽器提交數據結構

使用者提交表單後，瀏覽器發送類似以下的 HTTP 請求：

POST /upload.php HTTP/1.0
Host: example.com
Content-Type: multipart/form-data; boundary=----7d51863950254
Content-Length: xxx

------7d51863950254
Content-Disposition: form-data; name="description"
用戶輸入的描述文字
------7d51863950254
Content-Disposition: form-data; name="userfile"; filename="test.txt"
Content-Type: text/plain

文件二進位內容...
------7d51863950254--

關鍵點：

• boundary 為隨機生成的分隔符，用於區分各欄位。
• 每個部分包含 Content-Disposition 標頭，指明 name（欄位名）與可選的 filename（原始檔名）。
• 文件部分額外包含 Content-Type 標頭指示 MIME 類型。

PHP 內核處理流程（SAPI 層）

1. 請求啟動與 POST 數據讀取

Apache (mod_php 模式) 接收請求，識別 MIME 類型為 PHP，將控制權移交 PHP 模組。PHP 調用 sapi_activate 初始化請求，判斷為 POST 請求後調用 sapi_read_post_data，根據 Content-Type 尋找對應的處理器——即 rfc1867_post_handler（位於 main/rfc1867.c）。

2. 解析 multipart 數據

處理器按 boundary 分割數據塊，對每個部分解析 Content-Disposition 標頭，提取 name 與 filename：

• 同時存在 name 和 filename → 有名文件上傳
• 僅有 filename → 無名上傳（罕見）
• 僅有 name → 普通表單欄位

解析普通欄位時，會檢查是否為 MAX_FILE_SIZE，若存在則記錄其值供後續大小檢查使用。

3. 文件大小驗證與臨時文件創建

PHP 依序執行兩層大小檢查：

1. 全域限制：upload_max_filesize (php.ini 設定)
2. 表單建議值：MAX_FILE_SIZE（不可超過全域限制）

通過驗證後，在 upload_tmp_dir 目錄創建隨機名稱的臨時文件（phpXXXXXX），獲取文件句柄準備寫入。

4. 數據寫入與結構構建

循環讀取 multipart 緩衝區數據，寫入臨時文件。完成後關閉句柄，將臨時文件路徑記錄至 SG(rfc1867_uploaded_files) 雜湊表，並構建 $_FILES 超全域變數：

• 有名上傳：$_FILES['userfile']（對應 name="userfile"）
• 無名上傳：$_FILES['tmp_name']

$_FILES 包含鍵值：name（原始檔名）、type（MIME）、tmp_name（臨時路徑）、error（錯誤碼）、size（位元組大小）。

5. 移交用戶腳本處理

PHP 內核處理完畢，將控制權交給 upload.php。開發者需調用 move_uploaded_file() 將臨時文件移動至永久存儲位置，並自行實施業務邏輯驗證（檔案類型、內容掃描、重命名存儲等）。

安全最佳實踐

1. 不信任客戶端數據：$_FILES['type']、$_FILES['name']、MAX_FILE_SIZE 均可偽造，必須伺服端二次驗證。
2. 檔案類型驗證：使用 finfo_file() 檢測真實 MIME 類型，結合副檔名白名單。
3. 安全存儲：上傳目錄設為不可執行（移除 Handler），文件重命名為隨機名稱，避免直接訪問執行。
4. 大小限制：在 php.ini 設定 upload_max_filesize、post_max_size，代碼中再次檢查 $_FILES['size']。
5. 錯誤處理：檢查 $_FILES['error'] 碼（UPLOAD_ERR_OK 為 0 表示成功）。

結語

理解 RFC1867 協議與 PHP 內核處理流程，有助於開發者正確實現文件上傳功能，並從根源上防範上傳漏洞。核心原則：永不信任客戶端輸入，多層驗證，最小權限存儲。