簡(jiǎn)介一套基于客戶端與服務(wù)端配合實(shí)現(xiàn)的文件上傳示例面向需要在桌面應(yīng)用中開發(fā)上傳功能的程序員以及負(fù)責(zé)編寫后端接收邏輯的PHP工程師。資源完整展示了聯(lián)調(diào)思路桌面端通過HTTP POST請(qǐng)求發(fā)送文件數(shù)據(jù)服務(wù)端通過$_FILES接收并保存。包體共35個(gè)文件以.dpr、.pas、.dfm、.dproj等工程源文件為主同時(shí)包含.exe可執(zhí)行文件、.dcu編譯中間文件及服務(wù)端upload.php腳本并留有若干歷史備份便于對(duì)比開發(fā)過程。壓縮包整體僅491KB結(jié)構(gòu)清晰適合快速瀏覽。目前已有476人學(xué)習(xí)該資源適合正在學(xué)習(xí)客戶端與Web服務(wù)端聯(lián)調(diào)、或想搭建簡(jiǎn)單上傳場(chǎng)景的入門者。借助源碼可以弄清如何構(gòu)造上傳請(qǐng)求、讀取并傳輸文件服務(wù)端如何校驗(yàn)文件信息并處理異常同時(shí)兼顧基礎(chǔ)的安全細(xì)節(jié)是一份動(dòng)手實(shí)踐價(jià)值較高的參考示例。 項(xiàng)目標(biāo)題是“delphi客戶端文件上傳代碼和服務(wù)器端php接收代碼”這個(gè)場(chǎng)景我太熟了。做了這么多年桌面端開發(fā)Delphi寫客戶端工具、PHP做后端的組合其實(shí)非常常見尤其是在企業(yè)內(nèi)部系統(tǒng)、醫(yī)療、工業(yè)自動(dòng)化這些領(lǐng)域。Delphi處理業(yè)務(wù)邏輯和界面效率高PHP部署簡(jiǎn)單成本低兩邊一搭配很多項(xiàng)目就這么跑起來(lái)了。最核心的橋梁就是文件上傳今天我就把這套完整方案掰開揉碎聊一遍代碼直接復(fù)制就能用。1. 整體設(shè)計(jì)思路與方案選型1.1 為什么是Delphi PHP這個(gè)組合先說(shuō)說(shuō)為什么這個(gè)組合會(huì)被大量使用。Delphi屬于編譯型桌面開發(fā)工具生成的exe不依賴運(yùn)行時(shí)環(huán)境雙擊就能跑特別適合做客戶端工具、數(shù)據(jù)采集程序、設(shè)備管理軟件。而PHP的優(yōu)勢(shì)在于服務(wù)端部署極簡(jiǎn)單一個(gè)Apache或者Nginx加上PHP解釋器就能跑寫個(gè)接口接收文件、存?zhèn)€日志、更新個(gè)數(shù)據(jù)庫(kù)都非常快。更重要的是這組合幾乎沒有額外的中間件成本。不需要像Java那樣裝Tomcat、配置一堆環(huán)境變量也不需要像.NET那樣綁定Windows平臺(tái)。內(nèi)網(wǎng)環(huán)境里一臺(tái)普通Linux服務(wù)器就能搞定維護(hù)成本低到可以忽略不計(jì)。我在實(shí)際項(xiàng)目中經(jīng)常遇到這種情況工廠車間的質(zhì)檢程序用Delphi寫生成報(bào)告后上傳到PHP搭建的內(nèi)部服務(wù)器存檔這一套方案從開發(fā)到上線往往一個(gè)星期就能完成。1.2 文件上傳方案選型為什么用multipart/form-dataDelphi客戶端要往PHP服務(wù)端傳文件可選的方案其實(shí)不少。早期有人用Socket直接傳裸數(shù)據(jù)流有人用FTP還有人用WebService。但我強(qiáng)烈推薦用HTTP協(xié)議的multipart/form-data方式這是瀏覽器表單上傳文件的同一套標(biāo)準(zhǔn)也是PHP支持最完善的上傳方式。用這個(gè)方案的理由簡(jiǎn)單直接PHP的$_FILES超全局變量天然支持multipart解析不需要寫任何額外的解析代碼兼容性好Delphi自帶Indy組件庫(kù)的TIdHTTP和TIdMultiPartFormDataStream直接支持這種格式可以同時(shí)傳輸文件和普通表單字段比如上傳圖片的同時(shí)附帶文件描述信息通過HTTP協(xié)議走80端口能穿透絕大多數(shù)防火墻限制1.3 整體架構(gòu)與數(shù)據(jù)流整個(gè)方案的數(shù)據(jù)流是這樣的Delphi客戶端讀取本地文件將文件數(shù)據(jù)封裝成multipart/form-data格式的HTTP請(qǐng)求通過TIdHTTP組件發(fā)送到PHP服務(wù)端。PHP服務(wù)端通過$_FILES接收文件數(shù)據(jù)通過$_POST接收附加的表單字段然后調(diào)用move_uploaded_file函數(shù)將臨時(shí)文件移動(dòng)到指定目錄。這里有個(gè)核心要點(diǎn)必須提前講清楚Delphi端的字段名必須和PHP端的接收索引嚴(yán)格對(duì)應(yīng)。比如你在Delphi里用AddFile(userfile, 文件路徑)服務(wù)端就得用$_FILES[userfile]來(lái)取。兩端字段名不一致文件就傳不上去而且不會(huì)報(bào)錯(cuò)就是靜默失敗非常坑。我當(dāng)年第一次聯(lián)調(diào)時(shí)就被這個(gè)問題卡了半天所以今天把它寫在最前面。2. 端到端聯(lián)調(diào)方案拆解2.1 multipart/form-data協(xié)議原理先花點(diǎn)時(shí)間講一下multipart/form-data的底層原理因?yàn)槔斫饬藚f(xié)議才能排錯(cuò)。這種格式的HTTP請(qǐng)求體是分段的每段用boundary字符串分隔。這個(gè)boundary是客戶端自己生成的隨機(jī)串例如----WebKitFormBoundary7MA4YWxkTrZu0gW服務(wù)端根據(jù)這個(gè)boundary來(lái)切分不同的數(shù)據(jù)段。每個(gè)文件段大致長(zhǎng)這樣------WebKitFormBoundary7MA4YWxkTrZu0gW Content-Disposition: form-data; nameuserfile; filenamereport.pdf Content-Type: application/pdf [文件的二進(jìn)制數(shù)據(jù)] ------WebKitFormBoundary7MA4YWxkTrZu0gW--看到?jīng)]每個(gè)文件段包含三部分Content-Disposition聲明字段名和文件名Content-Type聲明文件類型然后是裸的文件二進(jìn)制數(shù)據(jù)。文本字段的段更簡(jiǎn)單直接跟在Content-Disposition后面換行就是字段值。理解了這一點(diǎn)你就知道為什么TIdMultiPartFormDataStream里AddFile和AddFormField要區(qū)分開了。前者生成帶文件名的分段后者生成普通的分段。PHP端解析時(shí)也是按這個(gè)規(guī)則來(lái)的$_FILES取帶文件名的段$_POST取普通字段段。2.2 Delphi關(guān)鍵組件與數(shù)據(jù)結(jié)構(gòu)Delphi端要用的核心組件是Indy全套ID重點(diǎn)就兩個(gè)類TIdMultiPartFormDataStream是專門構(gòu)造multipart/form-data請(qǐng)求體的類內(nèi)部自動(dòng)生成boundary自動(dòng)添加各段數(shù)據(jù)的頭信息。它有AddFile和AddFormField兩個(gè)核心方法TIdMultiPartFormDataStream class(TStream) procedure AddFile(AFieldName, AFileName: string; AContentType: string ); procedure AddFormField(AFieldName, AValue: string); end;TIdHTTP是HTTP客戶端組件負(fù)責(zé)把構(gòu)造好的請(qǐng)求體發(fā)出去。核心是Post方法重載function Post(AURL: string; ASource: TStream; AResponseContent: TStrings nil): string; overload;兩個(gè)組件配合使用順序一般是創(chuàng)建流 - 添加字段和文件 - 執(zhí)行Post - 釋放流。2.3 Delphi端代碼框架在實(shí)際項(xiàng)目中Delphi端的上傳函數(shù)通常是這樣的結(jié)構(gòu)我已經(jīng)在多個(gè)項(xiàng)目里驗(yàn)證過這套代碼穩(wěn)定可靠uses IdHTTP, IdMultipartFormData, IdGlobal; function UploadFile(AFilePath, AUrl: string; AFileType: string): string; var IdHTTP: TIdHTTP; FormStream: TIdMultiPartFormDataStream; ResponseStr: string; begin IdHTTP : TIdHTTP.Create(nil); FormStream : TIdMultiPartFormDataStream.Create; try IdHTTP.Request.UserAgent : DelphiClient/1.0; IdHTTP.Request.ContentType : multipart/form-data; IdHTTP.Request.CharSet : UTF-8; IdHTTP.ConnectTimeout : 5000; IdHTTP.ReadTimeout : 30000; FormStream.AddFile(userfile, AFilePath, AFileType); FormStream.AddFormField(description, upload from delphi client); FormStream.AddFormField(client_type, desktop); ResponseStr : IdHTTP.Post(AUrl, FormStream); Result : ResponseStr; finally FormStream.Free; IdHTTP.Free; end; end;注意幾個(gè)容易被忽視的點(diǎn)IdHTTP.Request.UserAgent最好設(shè)置有些服務(wù)器配置會(huì)攔截默認(rèn)的Indy UAConnectTimeout和ReadTimeout必須手動(dòng)設(shè)置。Indy默認(rèn)超時(shí)是0表示無(wú)限等待生產(chǎn)環(huán)境里一旦服務(wù)器無(wú)響應(yīng)線程會(huì)卡死。這個(gè)坑我踩過不止一次AddFormField只接受字符串值如果你要傳整數(shù)、浮點(diǎn)數(shù)先IntToStr或FloatToStr轉(zhuǎn)一下finally塊里兩個(gè)對(duì)象的釋放順序先流后HTTP養(yǎng)成好習(xí)慣2.4 PHP端代碼框架PHP端接收代碼的核心邏輯其實(shí)很簡(jiǎn)潔。一個(gè)完整的接收接口通常包含接收文件、判斷錯(cuò)誤碼、檢查類型和大小、移動(dòng)文件到目標(biāo)目錄、返回JSON結(jié)果。下面是實(shí)際可用的代碼?php header(Content-Type: application/json; charsetutf-8); // 1. 判斷是否有文件上傳 if (!isset($_FILES[userfile])) { echo json_encode([code 1, msg 沒有收到文件]); exit; } $file $_FILES[userfile]; // 2. 檢查上傳錯(cuò)誤碼 if ($file[error] ! UPLOAD_ERR_OK) { $errMsg 上傳失敗; switch ($file[error]) { case UPLOAD_ERR_INI_SIZE: $errMsg 文件超過php.ini的upload_max_filesize; break; case UPLOAD_ERR_FORM_SIZE: $errMsg 文件超過表單限制; break; case UPLOAD_ERR_PARTIAL: $errMsg 文件只有部分被上傳; break; case UPLOAD_ERR_NO_FILE: $errMsg 沒有選擇文件; break; case UPLOAD_ERR_NO_TMP_DIR: $errMsg 找不到臨時(shí)目錄; break; case UPLOAD_ERR_CANT_WRITE: $errMsg 文件寫入失敗; break; } echo json_encode([code 2, msg $errMsg]); exit; } // 3. 檢查文件大小限制為10MB if ($file[size] 10 * 1024 * 1024) { echo json_encode([code 3, msg 文件超過10MB限制]); exit; } // 4. 構(gòu)造存儲(chǔ)路徑按日期分目錄 $uploadDir __DIR__ . /uploads/ . date(Ym) . /; if (!file_exists($uploadDir)) { mkdir($uploadDir, 0755, true); } // 5. 生成帶時(shí)間戳的文件名避免重名覆蓋 $ext pathinfo($file[name], PATHINFO_EXTENSION); $newFileName date(YmdHis) . _ . mt_rand(1000, 9999) . . . $ext; $destPath $uploadDir . $newFileName; // 6. 嘗試移動(dòng)文件 if (!move_uploaded_file($file[tmp_name], $destPath)) { echo json_encode([code 4, msg 保存文件失敗]); exit; } // 7. 返回成功信息 echo json_encode([ code 0, msg 上傳成功, url uploads/ . date(Ym) . / . $newFileName, size $file[size], original_name $file[name] ]);這段代碼里的關(guān)鍵點(diǎn)$_FILES[userfile]的索引名必須與Delphi端AddFile的第一個(gè)參數(shù)一致這是兩端聯(lián)調(diào)的橋梁UPLOAD_ERR_OK常量值是0error字段只有等于0才說(shuō)明文件完整到達(dá)服務(wù)端pathinfo($file[name], PATHINFO_EXTENSION)取擴(kuò)展名時(shí)是最安全的方式避免自己寫字符串拆分出現(xiàn)邊界問題move_uploaded_file第二步生成的文件名不要直接用原始文件名一方面防止重名另一方面防止路徑穿越攻擊3. 實(shí)操過程與核心環(huán)節(jié)實(shí)現(xiàn)3.1 服務(wù)端PHP接口完整實(shí)現(xiàn)含防跨域?qū)嶋H部署時(shí)PHP接口不能只寫處理邏輯還應(yīng)該考慮跨域、請(qǐng)求方式這些細(xì)節(jié)。特別是如果你的Delphi客戶端和Web管理后臺(tái)不在同一個(gè)域名下跨域問題會(huì)經(jīng)常碰到。完善的版本應(yīng)該在接口開頭增加CORS支持?php // 允許所有來(lái)源跨域內(nèi)網(wǎng)環(huán)境按需調(diào)整 header(Access-Control-Allow-Origin: *); header(Access-Control-Allow-Methods: POST, OPTIONS); header(Access-Control-Allow-Headers: Content-Type); // 處理瀏覽器預(yù)檢請(qǐng)求 if ($_SERVER[REQUEST_METHOD] OPTIONS) { http_response_code(204); exit; } if ($_SERVER[REQUEST_METHOD] ! POST) { echo json_encode([code 1, msg 僅支持POST請(qǐng)求]); exit; } // ... 后續(xù)文件處理邏輯然后處理兼容性問題。如果客戶端的Delphi版本是D2007或更老字符串默認(rèn)是ANSI編碼而PHP端默認(rèn)是UTF-8那文件名傳過來(lái)會(huì)亂碼。解決辦法是在PHP端對(duì)文件名做編碼轉(zhuǎn)換if (!function_exists(mb_convert_encoding)) { // 需要開啟 mbstring 擴(kuò)展 } $originalName mb_convert_encoding($file[name], UTF-8, GBK);不過多數(shù)情況下現(xiàn)在的Delphi版本都支持UTF-8了這一步根據(jù)實(shí)際情況決定加不加。3.2 客戶端Delphi上傳功能的完整界面代碼如果你要做一個(gè)完整的Delphi上傳Demo界面布局大概是這樣的一個(gè)Edit用來(lái)顯示要上傳的文件路徑一個(gè)OpenDialog選擇文件一個(gè)Button觸發(fā)上傳一個(gè)Memo或Label顯示服務(wù)端返回結(jié)果。核心組件代碼procedure TForm1.btnSelectFileClick(Sender: TObject); begin if OpenDialog1.Execute then edtFilePath.Text : OpenDialog1.FileName; end; procedure TForm1.btnUploadClick(Sender: TObject); var IdHTTP: TIdHTTP; FormStream: TIdMultiPartFormDataStream; ResponseStr: string; begin if not FileExists(edtFilePath.Text) then begin ShowMessage(文件不存在請(qǐng)重新選擇); Exit; end; IdHTTP : TIdHTTP.Create(nil); FormStream : TIdMultiPartFormDataStream.Create; try IdHTTP.Request.UserAgent : DelphiFileUploader/1.0; IdHTTP.Request.CharSet : UTF-8; IdHTTP.ConnectTimeout : 5000; IdHTTP.ReadTimeout : 60000; FormStream.AddFile(userfile, edtFilePath.Text, ); FormStream.AddFormField(source, desktop_client); FormStream.AddFormField(upload_time, DateTimeToStr(Now)); ResponseStr : IdHTTP.Post(http://192.168.1.100/upload.php, FormStream); memoLog.Lines.Add([回應(yīng)] ResponseStr); except on E: Exception do memoLog.Lines.Add([異常] E.Message); finally FormStream.Free; IdHTTP.Free; end; end;有幾個(gè)細(xì)節(jié)值得注意。TIdMultiPartFormDataStream.AddFile的最后一個(gè)參數(shù)是ContentType傳空字符串的話Indy會(huì)根據(jù)文件擴(kuò)展名自動(dòng)識(shí)別大多數(shù)情況下夠用了。如果你要保證服務(wù)端一定能識(shí)別某種特定類型可以顯式傳application/octet-stream讓所有文件都按二進(jìn)制流處理。關(guān)于那個(gè)AddFormField(upload_time, DateTimeToStr(Now))在D2007及更早版本要注意DateTimeToStr的結(jié)果帶本地格式的日期分隔符如果服務(wù)器和客戶端不在同一區(qū)域設(shè)置PHP端解析可能出問題。更穩(wěn)妥的做法是FormStream.AddFormField(upload_time, FormatDateTime(yyyy-mm-dd hh:nn:ss, Now));3.3 服務(wù)端PHP與客戶端Delphi的聯(lián)調(diào)步驟兩端代碼都寫好之后聯(lián)調(diào)建議按照下面的順序來(lái)每一步都能快速定位問題第一步用瀏覽器或Postman測(cè)試PHP接口。先把PHP服務(wù)端獨(dú)立跑通直接用Postman的form-data方式上傳一個(gè)測(cè)試文件確認(rèn)服務(wù)端接口正常。這一步能過濾掉一半的問題避免跨語(yǔ)言聯(lián)調(diào)時(shí)不知道錯(cuò)在誰(shuí)。第二步Delphi端先傳一個(gè)小文件比如幾KB的文本文件。因?yàn)樾∥募木W(wǎng)絡(luò)傳輸時(shí)間短如果出錯(cuò)錯(cuò)誤信息能快速返回方便排查。第三步檢查PHP端是否收到文件。在PHP代碼里臨時(shí)加一行日志file_put_contents(./debug.log, print_r($_FILES, true), FILE_APPEND);這一步能看到PHP實(shí)際收到的文件元信息包括文件名、大小、類型、錯(cuò)誤碼。這個(gè)打印輸出是排查聯(lián)調(diào)問題最重要的手段之一幾乎能確定80%的問題源頭。第四步確認(rèn)Delphi端HTTP狀態(tài)碼。在Delphi的異常處理里打印E.Message和IdHTTP.ResponseCode。如果返回405說(shuō)明請(qǐng)求方法不對(duì)如果返回413說(shuō)明文件太大如果返回500說(shuō)明PHP代碼報(bào)錯(cuò)這些狀態(tài)碼直接指向問題所在。4. 常見問題與排查技巧實(shí)錄4.1 上傳大文件時(shí)遇到的坑這是我在實(shí)際項(xiàng)目里最常踩的坑也是同事問我最多的問題。Delphi端上傳一個(gè)50MB的文件到PHP結(jié)果PHP這邊一直報(bào)錯(cuò)或者總是只收到一部分?jǐn)?shù)據(jù)。排查下來(lái)大概率卡在PHP的配置文件上。PHP上傳文件受三個(gè)參數(shù)限制參數(shù)名默認(rèn)值作用upload_max_filesize2M單個(gè)上傳文件的最大大小post_max_size8M整個(gè)POST請(qǐng)求體的最大大小max_execution_time30秒PHP腳本最大執(zhí)行時(shí)間這里有個(gè)新手容易踩的暗坑post_max_size必須大于upload_max_filesize。因?yàn)橐粋€(gè)POST請(qǐng)求體里不只是文件數(shù)據(jù)還包括multipart格式的協(xié)議頭和表單字段數(shù)據(jù)。我只調(diào)大upload_max_filesize沒管post_max_size結(jié)果文件超過8MB就失敗這個(gè)問題非常隱蔽。另一個(gè)坑是腳本執(zhí)行時(shí)間。文件上傳完P(guān)HP還要執(zhí)行move_uploaded_file移動(dòng)文件大文件在慢速網(wǎng)絡(luò)下傳輸時(shí)間加上移動(dòng)時(shí)間很容易超過30秒的默認(rèn)限制。修改方法是編輯php.iniupload_max_filesize 100M post_max_size 110M max_execution_time 300改完重啟Apache或PHP-FPM服務(wù)生效。如果你用的是PHP-FPM還要檢查request_terminate_timeout這個(gè)參數(shù)它可能單獨(dú)限制請(qǐng)求處理時(shí)間。4.2 服務(wù)器端PHP接收不到文件的經(jīng)典原因這個(gè)問題在網(wǎng)上被問炸了我親眼見過無(wú)數(shù)個(gè)案例?，F(xiàn)象是Delphi端執(zhí)行Post不報(bào)錯(cuò)請(qǐng)求也發(fā)出去了但PHP端就是$_FILES為空。按照我排查順序第一時(shí)間檢查字段名對(duì)應(yīng)。Delphi端AddFile的第一個(gè)參數(shù)和PHP端$_FILES[xxx]的索引必須一致這個(gè)我在開頭就強(qiáng)調(diào)過。AddFile(userfile, 路徑)對(duì)應(yīng)$_FILES[userfile]AddFile(myfile, 路徑)對(duì)應(yīng)$_FILES[myfile]。字段名錯(cuò)了一個(gè)字母整個(gè)文件就丟了而且大部分情況下PHP不會(huì)報(bào)任何錯(cuò)誤只會(huì)靜默地讓$_FILES為空。第二個(gè)大概率原因是沒有正確設(shè)置TIdHTTP.Request.ContentType。雖然TIdHTTP.Post會(huì)自動(dòng)根據(jù)流類型設(shè)置ContentType但如果你手動(dòng)覆蓋了ContentType為非multipart類型就會(huì)出問題。穩(wěn)妥的做法是設(shè)置ContentType為multipart/form-dataIndy會(huì)自動(dòng)在請(qǐng)求頭里帶上正確的boundary標(biāo)記。第三個(gè)原因可能和PHP版本有關(guān)。從PHP 5.4開始CURLOPT_SAFE_UPLOAD默認(rèn)設(shè)為true如果你用curl庫(kù)自測(cè)接口文件路徑這種老語(yǔ)法會(huì)失效要改用curl_file_create或者new CURLFile。但Delphi的Indy庫(kù)不涉及這個(gè)問題它走的是原生HTTP協(xié)議棧這里只是提醒你在用其他客戶端測(cè)試時(shí)注意。4.3 亂碼問題的根因與解決Delphi 2007及以前版本字符串是ANSI編碼默認(rèn)字符集跟系統(tǒng)區(qū)域相關(guān)。中文Windows系統(tǒng)下就是GBK編碼。而PHP端默認(rèn)按UTF-8處理文本。于是中文文件名上傳后服務(wù)端保存的文件名亂碼或者顯示異常。解決辦法有兩個(gè)根據(jù)實(shí)際環(huán)境選擇方案一客戶端主動(dòng)轉(zhuǎn)碼。Delphi端轉(zhuǎn)成UTF-8再傳用Utf8Encode函數(shù)var utf8Name: UTF8String; begin utf8Name : UTF8Encode(中文文件名.txt); FormStream.AddFormField(filename, String(utf8Name)); end;方案二服務(wù)端轉(zhuǎn)碼。如果客戶端代碼不便改動(dòng)就在PHP端把文件名從GBK轉(zhuǎn)成UTF-8$fileName mb_convert_encoding($file[name], UTF-8, GBK);需要提前確認(rèn)PHP的mbstring擴(kuò)展已開啟。在php.ini里找到extensionmbstring去掉注釋然后重啟服務(wù)。4.4 大文件上傳超時(shí)和TCP層問題如果是內(nèi)網(wǎng)環(huán)境Delphi客戶端上傳200MB以上的大文件還會(huì)遇到另一個(gè)問題上傳時(shí)間太長(zhǎng)PHP執(zhí)行超時(shí)或者客戶端ReadTimeout到期。這種情況下Delphi端的TIdHTTP.ReadTimeout不能設(shè)太小。我實(shí)測(cè)過100MB文件在百兆局域網(wǎng)中傳輸大約需要10-15秒千兆網(wǎng)絡(luò)約5秒鐘設(shè)置ReadTimeout為60秒比較穩(wěn)妥。如果客戶端設(shè)置了ReadTimeout : 30000只等了30秒而文件傳輸加服務(wù)端處理耗時(shí)超過30秒客戶端就會(huì)拋出一個(gè)EIdReadTimeout異?？雌饋?lái)像服務(wù)端出錯(cuò)了其實(shí)是客戶端提前放棄了等待。另外PHP端如果也遇到上傳200MB以上大文件超時(shí)問題可以嘗試換個(gè)思路不走PHP改為Nginx的client_max_body_size或者用專門的OSS存儲(chǔ)服務(wù)。不過這是另一個(gè)話題了。4.5 安全加固防止惡意文件上傳說(shuō)到文件上傳就不能不提安全問題。文件上傳漏洞在任何語(yǔ)言里都是高危漏洞Delphi上傳PHP接收這個(gè)場(chǎng)景也不例外。雖然我們討論的是正常的上傳功能但安全底線必須守住防住惡意文件上傳是服務(wù)端必做的功課。推薦做以下四層防護(hù)第一層擴(kuò)展名白名單。只允許特定擴(kuò)展名上傳其他一律拒絕$allowedExts [jpg, jpeg, png, gif, pdf, doc, docx, xlsx]; $ext strtolower(pathinfo($file[name], PATHINFO_EXTENSION)); if (!in_array($ext, $allowedExts)) { echo json_encode([code 5, msg 不允許的文件類型]); exit; }第二層MIME類型檢查。用PHP的finfo_open讀取文件真實(shí)類型防止攻擊者修改擴(kuò)展名偽裝$finfo finfo_open(FILEINFO_MIME_TYPE); $mimeType finfo_file($finfo, $file[tmp_name]); finfo_close($finfo); $allowedMimes [image/jpeg, image/png, application/pdf]; if (!in_array($mimeType, $allowedMimes)) { echo json_encode([code 6, msg 文件內(nèi)容與聲明類型不符]); exit; }第三層存儲(chǔ)目錄禁止執(zhí)行腳本。上傳目錄和PHP執(zhí)行目錄要分開上傳目錄關(guān)閉PHP執(zhí)行權(quán)限。用Nginx的話可以這樣配置location ~* /uploads/.*\.(php|php5|phtml)$ { deny all; }第四層文件名重寫。不要使用用戶提供的原始文件名作為最終存儲(chǔ)名改用時(shí)間戳加隨機(jī)數(shù)的方式這個(gè)我上面的代碼已經(jīng)實(shí)現(xiàn)了。這樣即使攻擊者上傳了一個(gè)包含路徑穿越符或其他惡意字符的文件名也不會(huì)產(chǎn)生影響。把這幾層防護(hù)加上去普通的上傳接口基本就安全了。當(dāng)然如果是金融、醫(yī)療等強(qiáng)監(jiān)管行業(yè)還要考慮更多合規(guī)與安全要求比如文件安全掃描、訪問權(quán)限校驗(yàn)等這些就不在這里展開了。5. 性能優(yōu)化與擴(kuò)展思路5.1 并發(fā)上傳的服務(wù)器配置調(diào)優(yōu)如果你的系統(tǒng)有多個(gè)Delphi客戶端同時(shí)向PHP服務(wù)器上傳文件就涉及到并發(fā)處理能力的問題。Apache默認(rèn)的mpm_prefork模塊每個(gè)請(qǐng)求占用一個(gè)線程高并發(fā)場(chǎng)景下內(nèi)存消耗比較大。更推薦使用Nginx PHP-FPM的組合PHP-FPM支持進(jìn)程池動(dòng)態(tài)調(diào)整內(nèi)存占用更可控。PHP-FPM的調(diào)優(yōu)參數(shù)一般在php-fpm.conf或pool.d/www.conf里pm dynamic pm.max_children 50 pm.start_servers 10 pm.min_spare_servers 5 pm.max_spare_servers 20max_children并不是越大越好要根據(jù)服務(wù)器內(nèi)存和每個(gè)PHP進(jìn)程的內(nèi)存占用算出上限。計(jì)算公式大概是max_children 可用內(nèi)存 / 單個(gè)PHP進(jìn)程平均內(nèi)存。通常每個(gè)PHP-FPM進(jìn)程占用內(nèi)存30-50MB一臺(tái)8GB內(nèi)存的服務(wù)器max_children設(shè)置在50-80之間比較合理。你要是不確定可以從30開始?jí)簻y(cè)觀察內(nèi)存增長(zhǎng)趨勢(shì)再逐步往上調(diào)。5.2 磁盤存儲(chǔ)策略按日期分目錄與云存儲(chǔ)擴(kuò)展文件上傳多了以后一個(gè)目錄里堆幾萬(wàn)個(gè)文件會(huì)讓文件系統(tǒng)變慢也不方便管理。我在上面的示例代碼里已經(jīng)實(shí)現(xiàn)了按年月分目錄uploads/202504/這個(gè)思路可以繼續(xù)擴(kuò)展。按日期分目錄的好處是日志清理方便目錄數(shù)量可控檢索時(shí)能按時(shí)間范圍快速定位。如果你的文件還有業(yè)務(wù)屬性比如按用戶分目錄可以這樣$uploadDir __DIR__ . /uploads/ . $userId . / . date(Ym) . /;如果你的團(tuán)隊(duì)后來(lái)需要把存儲(chǔ)遷到云服務(wù)商代碼結(jié)構(gòu)要先設(shè)計(jì)好。我一般會(huì)把存儲(chǔ)層抽象成一個(gè)接口比如StorageInterface然后實(shí)現(xiàn)LocalStorage、S3Storage、AliyunOSSStorage。這樣切云存儲(chǔ)時(shí)只改一個(gè)工廠方法客戶端代碼完全不用動(dòng)。這個(gè)演進(jìn)思路雖然簡(jiǎn)單但在實(shí)際項(xiàng)目中省了不少事。5.3 斷點(diǎn)續(xù)傳與分塊上傳的設(shè)計(jì)思路大文件上傳還有一個(gè)硬骨頭問題斷點(diǎn)續(xù)傳、分塊上傳。如果業(yè)務(wù)上經(jīng)常要傳幾百M(fèi)B的文件一次性傳輸?shù)娘L(fēng)險(xiǎn)很大。簡(jiǎn)單中斷后就要從頭再來(lái)體驗(yàn)很差。簡(jiǎn)單的做法是用Multipart分塊上傳思路但需要兩端配合改造客戶端把文件切割成多個(gè)分塊每個(gè)分塊單獨(dú)上傳服務(wù)端按順序接收并暫存等所有分塊到齊后再合并。這里不做完整代碼實(shí)現(xiàn)只分享設(shè)計(jì)思路以免篇幅過長(zhǎng)。核心要點(diǎn)有三個(gè)一是分塊標(biāo)識(shí)。每個(gè)分塊需要用唯一標(biāo)識(shí)區(qū)分可以用MD5(文件名分塊序號(hào)分塊大小)生成保證合并時(shí)順序正確。二是分塊大小。建議設(shè)置為2MB或4MB太小了請(qǐng)求數(shù)量過多會(huì)拖慢整體速度太大了斷點(diǎn)續(xù)傳的粒度就失去意義。2MB分塊上傳100MB文件得到50個(gè)分塊網(wǎng)絡(luò)中斷損失最多2MB比較合理。三是合并策略。服務(wù)端把分塊暫存在臨時(shí)目錄等所有分塊上傳完成后用PHP的file_put_contents加FILE_APPEND參數(shù)依次追加合并或者用shell_exec調(diào)用系統(tǒng)cat命令合并。注意合并時(shí)要加鎖防止并發(fā)合并導(dǎo)致數(shù)據(jù)錯(cuò)亂。這套方案在真實(shí)項(xiàng)目中我落地過幾次效果穩(wěn)定。但如果你只是內(nèi)部工具文件又不超過50MB直接整文件上傳就夠了沒必要為了炫技引入復(fù)雜度。6. 實(shí)際項(xiàng)目中踩過的完整案例復(fù)盤6.1 案例一文件名亂碼導(dǎo)致的上傳失敗這個(gè)案例來(lái)自一個(gè)工廠設(shè)備數(shù)據(jù)采集項(xiàng)目。Delphi客戶端采集設(shè)備運(yùn)行狀態(tài)并生成CSV文件然后上傳到PHP服務(wù)器存檔。上線第一天就接到反饋部分設(shè)備的文件名亂碼導(dǎo)致PHP端無(wú)法讀取擴(kuò)展名文件被判定為不允許的類型。查了兩天最后的根因是設(shè)備本身的系統(tǒng)區(qū)域設(shè)置不同。車間里的Windows系統(tǒng)有的是中文環(huán)境有的是英文環(huán)境。中文環(huán)境生成的CSV文件名默認(rèn)用GBK編碼傳給服務(wù)端而PHP端pathinfo函數(shù)是純ASCII處理對(duì)非ASCII字符的解析就會(huì)出現(xiàn)異常。解決方法是客戶端在加文件名時(shí)統(tǒng)一轉(zhuǎn)成UTF-8的ASCII兼容形式例如強(qiáng)制用時(shí)間戳命名文件同時(shí)把原始文件名放進(jìn)表單字段FormStream.AddFile(userfile, AFilePath, application/octet-stream); FormStream.AddFormField(origin_name, ExtractFileName(AFilePath));服務(wù)端優(yōu)先用origin_name作為存檔名如果為空就用生成的隨機(jī)名。這個(gè)方案既保留了原始文件信息又規(guī)避了編碼問題。6.2 案例二服務(wù)端返回502狀態(tài)碼有一次部署到測(cè)試環(huán)境客戶端上傳文件時(shí)服務(wù)端返回502 Bad Gateway。這個(gè)錯(cuò)誤碼不是PHP返回的而是Nginx作為反向代理時(shí)返回的。問題是PHP-FPM處理請(qǐng)求超時(shí)Nginx在等不到上游響應(yīng)后主動(dòng)斷開了連接。解決辦法是調(diào)整Nginx的proxy_read_timeout和PHP-FPM的max_execution_time把兩者都調(diào)大讓請(qǐng)求處理時(shí)間足夠覆蓋大文件的上傳和處理過程location ~ \.php$ { proxy_read_timeout 300; fastcgi_read_timeout 300; }這是因?yàn)镹ginx作為前端必須它自己的超時(shí)時(shí)間比后端的PHP-FPM更長(zhǎng)才能正常代理請(qǐng)求。6.3 案例三上傳Excel文件為空的問題另一個(gè)印象深刻的問題Delphi客戶端用TIdHTTP上傳Excel文件HTTP狀態(tài)碼是200但PHP端收到文件大小為0。排查后定位到是TIdMultiPartFormDataStream.AddFile方法的要求——由于Indy的實(shí)現(xiàn)細(xì)節(jié)要額外指定文件流從0開始讀或者傳入文件路徑讓Indy內(nèi)部打開文件。復(fù)盤時(shí)發(fā)現(xiàn)代碼里誤用了AddFormField傳文件路徑字符串自然只傳了一個(gè)字符串而不是文件內(nèi)容。這個(gè)錯(cuò)誤雖然低級(jí)但很典型。建議在調(diào)用AddFile前先確認(rèn)本地文件確實(shí)能被訪問并且不要混用AddFormField和AddFile處理同一份文件數(shù)據(jù)。7. 一些關(guān)于Delphi和PHP搭配的經(jīng)驗(yàn)分享7.1 開發(fā)流程上的建議這套技術(shù)組合的開發(fā)效率很高但聯(lián)調(diào)時(shí)需要特別仔細(xì)。我的建議是兩端并行開發(fā)時(shí)先約定好接口文檔哪怕只是手寫的一段文字說(shuō)明把字段名、文件大小限制、返回格式都寫清楚。接口文檔越明確聯(lián)調(diào)Bug越少。我常用的做法是先用Postman把PHP接口完全測(cè)通再開始寫Delphi代碼。這樣當(dāng)Delphi出問題時(shí)可以排除服務(wù)端的因素直接把矛頭指向客戶端。7.2 項(xiàng)目管理和社會(huì)工程學(xué)考慮Delphi PHP技術(shù)棧雖然老但在企業(yè)內(nèi)部有著大量存量代碼和成熟的運(yùn)維經(jīng)驗(yàn)員工上手快招聘替代成本低這些都是它在當(dāng)下仍然不可忽視的實(shí)用價(jià)值。另一個(gè)低調(diào)但實(shí)際的原因是Delphi的編譯產(chǎn)物是單一exe文件部署非常方便。內(nèi)網(wǎng)環(huán)境里安裝一個(gè)客戶端程序往往不需要管理員權(quán)限直接把exe拷到桌面就能跑。這對(duì)運(yùn)維人員來(lái)說(shuō)比需要安裝運(yùn)行時(shí)環(huán)境的方案友好太多。我也見過一些團(tuán)隊(duì)把新功能逐漸從Delphi遷移到C#或Java但由于歷史數(shù)據(jù)接口等原因老系統(tǒng)還在運(yùn)行?？蛻舳松蟼?、服務(wù)端PHP接收的這套模式在這些過渡期依然發(fā)揮著重要作用。掌握這個(gè)技能既能在存量系統(tǒng)里做維護(hù)支持也能在從零開始的小項(xiàng)目中快速落地是一項(xiàng)實(shí)用性極強(qiáng)的硬功夫。7.3 最后再分享一個(gè)小技巧調(diào)試文件上傳問題時(shí)任何語(yǔ)言的客戶端上傳到PHP服務(wù)端都可以先監(jiān)聽服務(wù)端的臨時(shí)目錄watch -n 1 ls -l /tmp/php*如果你發(fā)現(xiàn)臨時(shí)文件出現(xiàn)了瞬間又消失了說(shuō)明文件上傳成功了問題出在后續(xù)的move_uploaded_file或目錄權(quán)限上。如果臨時(shí)文件壓根沒出現(xiàn)說(shuō)明請(qǐng)求壓根沒到PHP——那是HTTP層或Nginx配置的問題。這個(gè)技巧能在5秒內(nèi)定位到問題的大致方向省去了大量翻日志的時(shí)間分享給正在排查的你。本文還有配套的精品資源點(diǎn)擊獲取