PHP实现安全文件上传与邮件附件发送教程

<form method="post" name="uploadproof" id="uploadproof" enctype="multipart/form-data">
    <input type="hidden" id="wrap" name="wrap" value="upload" />
    <input type="hidden" id="userid" name="userid" value="<?php echo $valid_user_id; ?>" /> 

    <!-- 允许用户上传多个图片文件，并限制文件类型为PNG, JPG, JPEG -->
    <input type="file" id="images" name="images[]" multiple="multiple" accept=".png,.jpg,.jpeg"/>   

    <input type="submit" id="upload" name="upload" class="send" value="Upload" style="float: none;padding:10px;" />
    <span id="load"></span>
    <br />
</form>

<?php
use PHPMailer\PHPMailer\PHPMailer;
use PHPMailer\PHPMailer\Exception;

require 'vendor/autoload.php'; // 假设您使用Composer

if (isset($_POST['upload'])) {
    // 获取表单提交的用户信息
    $name = $_POST['name'] ?? '未知用户'; // 假设从表单获取或数据库查询
    $email = $_POST['email'] ?? 'unknown@example.com';
    $mobile = $_POST['mobile'] ?? '';
    $country = $_POST['country'] ?? '';
    $subject = $_POST['subject'] ?? '无主题';
    $messageBody = $_POST['message'] ?? '无消息内容';

    $mail = new PHPMailer(true); // 启用异常

    try {
        // 服务器配置
        $mail->isSMTP();                                            // 使用SMTP
        $mail->Host       = 'smtp.gmail.com';                       // 设置SMTP服务器
        $mail->SMTPAuth   = true;                                   // 启用SMTP认证
        $mail->Username   = 'your_gmail_username@gmail.com';        // SMTP 用户名
        $mail->Password   = 'your_gmail_app_password';              // SMTP 密码 (推荐使用应用密码)
        $mail->SMTPSecure = PHPMailer::ENCRYPTION_SMTPS;            // 启用TLS加密，PHPMailer::ENCRYPTION_STARTTLS 或 PHPMailer::ENCRYPTION_SMTPS
        $mail->Port       = 465;                                    // TCP 端口，如果使用PHPMailer::ENCRYPTION_STARTTLS，则为587

        // 收件人
        $mail->setFrom('your_sender_email@example.com', 'ECZ Members KYC'); // 发件人
        $mail->addAddress('recipient@example.com');                 // 收件人

        // 内容
        $mail->isHTML(true);                                        // 设置邮件格式为HTML
        $mail->Subject = 'KYC Request Submitted by ' . $name;
        $mail->Body    = '<h2>联系请求已提交</h2>
                          <p><b>姓名:</b> ' . htmlspecialchars($name) . '</p>
                          <p><b>邮箱:</b> ' . htmlspecialchars($email) . '</p>
                          <p><b>手机:</b> ' . htmlspecialchars($mobile) . '</p>
                          <p><b>国家:</b> ' . htmlspecialchars($country) . '</p>
                          <p><b>主题:</b> ' . htmlspecialchars($subject) . '</p>
                          <p><b>消息:</b><br/>' . nl2br(htmlspecialchars($messageBody)) . '</p>';
        $mail->AltBody = '这是一个纯文本消息，当HTML邮件无法显示时可见。'; // 纯文本版本

        // 处理文件上传
        if (isset($_FILES['images']) && count($_FILES['images']['name']) > 0) {
            foreach ($_FILES['images']['name'] as $key => $fileName) {
                // 仅处理成功上传的文件
                if ($_FILES['images']['error'][$key] === UPLOAD_ERR_OK) {
                    $tmpFilePath = $_FILES['images']['tmp_name'][$key];
                    $originalFileName = $_FILES['images']['name'][$key];

                    // 在这里执行文件安全验证
                    if (validateUploadedFile($tmpFilePath, $originalFileName, $_FILES['images']['type'][$key], $_FILES['images']['size'][$key])) {
                        // 将临时文件作为附件添加
                        $mail->addAttachment($tmpFilePath, generateSecureFileName($originalFileName)); 
                        // 注意：这里只是将临时文件添加到邮件，PHPMailer会处理其内容。
                        // 临时文件在脚本执行结束后会自动删除，无需手动unlink。
                    } else {
                        // 文件验证失败，可以记录日志或通知用户
                        echo "文件 {$originalFileName} 验证失败或存在安全问题。<br>";
                    }
                }
            }
        }

        $mail->send();
        echo '邮件已成功发送！';
    } catch (Exception $e) {
        echo "邮件发送失败。Mailer Error: {$mail->ErrorInfo}";
    }
}
?>

function validateUploadedFile($tmpFilePath, $originalFileName, $fileMimeType, $fileSize) {
    // 1. 文件上传错误检查 (已在PHPMailer循环中处理 UPLOAD_ERR_OK)

    // 2. 文件扩展名校验
    $allowedExtensions = ['jpg', 'png', 'jpeg'];
    $fileExtension = strtolower(pathinfo($originalFileName, PATHINFO_EXTENSION));
    if (!in_array($fileExtension, $allowedExtensions)) {
        error_log("不允许的文件扩展名: " . $originalFileName);
        return false;
    }

    // 3. MIME类型校验
    $allowedMimeTypes = ['image/jpeg', 'image/png'];
    // 也可以使用 finfo_open() 获取更准确的MIME类型
    $finfo = finfo_open(FILEINFO_MIME_TYPE);
    $realMimeType = finfo_file($finfo, $tmpFilePath);
    finfo_close($finfo);

    if (!in_array($realMimeType, $allowedMimeTypes)) {
        error_log("不允许的MIME类型: " . $realMimeType . " (原始: " . $fileMimeType . ")");
        return false;
    }

    // 4. 文件大小校验
    $maxFileSize = 5 * 1024 * 1024; // 5 MB
    if ($fileSize <= 0 || $fileSize > $maxFileSize) {
        error_log("文件大小不符合要求: " . $fileSize . " Bytes");
        return false;
    }

    // 5. 图像内容校验
    $imageInfo = @getimagesize($tmpFilePath); // 使用@抑制警告，因为非图片文件会报错
    if ($imageInfo === false) {
        error_log("不是有效的图像文件: " . $originalFileName);
        return false;
    }
    $imageWidth = $imageInfo[0];
    $imageHeight = $imageInfo[1];
    $imageType = $imageInfo[2];

    if ($imageWidth <= 0 || $imageHeight <= 0 || !in_array($imageType, [IMAGETYPE_JPEG, IMAGETYPE_PNG])) {
        error_log("图像尺寸或类型不符合要求: W=" . $imageWidth . ", H=" . $imageHeight . ", Type=" . $imageType);
        return false;
    }

    // 所有验证通过
    return true;
}