PHPCMS附件上传设置全流程指南 踩坑老手亲测避坑实用版

家人们谁懂啊，前两年帮朋友搭企业站用PHPCMS，就因为没摸透phpcms附件上传设置，先是传个5M的产品图直接卡成PPT，后来居然被黑产传了木马脚本，站直接被封了3天，差点赔了朋友半年的服务器钱，踩过的坑能绕小区三圈，今天把phpcms附件上传设置这点事儿给你们唠明白，全是我拿真金白银砸出来的经验，照做绝对不翻车。

phpcms附件上传设置就是你网站的「进货安检门」

先给你们整个接地气的比方：你的网站就是个开在大学城的小卖部，平时要上新产品图、传用户下载的文档、放宣传视频，本质就是给小卖部进货，而phpcms附件上传设置就是守在仓库门口的安检门，门开多大、啥东西能进、谁能进，全是它说了算。

我当初刚接触的时候就觉得这玩意儿是个摆设，随便改改大小就完事了，结果要么是大箱的饮料（高清视频）卡门口进不来，要么是混进来带打火机的小偷（木马脚本）把仓库点了，真的是吃了没文化的亏。所以调phpcms附件上传设置之前，先把这个逻辑整明白，后面改参数的时候就知道为啥要这么改了，不会瞎调。

新手调phpcms附件上传设置必改的3个核心项

我把这几个参数比作安检门的三个核心开关，挨个调对，基本就不会出啥大问题。

第一关：先给安检门调宽度——附件大小限制

好多新手第一次改phpcms附件上传设置，就是奔着这个来的：默认的2M上传限制，连个高清产品图都传不上去，急的满头汗。我当初也是直接进后台改了附件大小就完事，结果传10M的视频死活传不上，蹲服务器改参数改到凌晨三点，喝了三罐红牛才搞定。

正确操作是三步走，一个都不能落：

• 第一步进PHPCMS后台，找到设置-附件设置-允许上传的附件大小，改成你需要的数值，比如20M；
• 第二步改服务器php.ini配置文件，把两个参数改成和后台一致的数值： ``` upload_max_filesize = 20M post_max_size = 20M ```
• 第三步要是你用的是Nginx服务器，还要在配置里加一行参数，要是用Apache就跳过这步： ``` client_max_body_size 20M; ```

改完所有参数记得重启php服务和web服务器，不然设置不生效！这就跟你给小卖部扩门，不能光把店门拆了，小区门口的限高杆也得一起挪，不然进货的卡车还是进不来，别嫌麻烦，我当初就是漏改了Nginx的参数，白折腾俩小时，听哥的准没错。

第二关：给安检门设白名单——附件格式限制

啥意思呢？你小卖部是卖零食饮料的，总不能让易燃易爆的烟花爆竹进仓库吧？phpcms附件上传设置里的格式白名单就是干这个的，只放你需要的格式进来，没用的全拦在外面。

默认的格式是jpg、png、gif、doc这些基础格式，你要是需要传PDF、MP4、压缩包，直接在后台设置-附件设置-允许上传的附件类型里加就行，但是我给你个血的教训：绝对不要加php、asp、js、exe这些可执行格式，哪怕有人说加了方便也不行！

我当初就是图方便，给后台加了zip格式的上传权限，结果没到一周就被黑产传了带php木马的压缩包，解压之后直接给我站挂了一千多条博彩黑链，被运营商封站之后我整理了三天才清完木马，头发掉了一大把。现在我调phpcms附件上传设置的时候，除了必要的图片、文档、视频格式，剩下的全砍掉，连压缩包都只允许传我们自己内部生成的，多留一个漏洞就多一份风险，小心驶得万年船，这话你记到小本本上绝对不吃亏。

第三关：给安检门设门禁——上传权限限制

除了啥东西能进，你还得规定谁能进对吧？总不能随便来个路人都能进你家仓库搬东西吧？phpcms附件上传设置里的用户组权限就是干这个的。

默认只有管理员组有上传权限，要是你做用户投稿、会员上传资料的功能，就给对应的会员组开权限就行，但是绝对不要给游客组开上传权限！我见过好多新手为了省事儿，直接给游客开了上传权限，结果当天就被人传了几千张垃圾广告图，服务器硬盘直接给塞满，站直接卡成PPT，删都删不过来。

要是你做的是多站点功能，记得每个站点的phpcms附件上传设置要单独配权限，不要共用存储文件夹，我当初就是图省事两个站共用一个附件目录，结果A站的用户能把文件传到B站的文件夹里，两个站的图片混在一起，删都不敢删，整理了整整两天才理清楚，真的是偷懒一时爽，补坑火葬场。

调完phpcms附件上传设置必做的3个测试

别改完参数就觉得万事大吉了，我现在每次改完phpcms附件上传设置都要做三遍测试，宁可多花十分钟，也不要等出问题了花半个月恢复数据。

测大小：传个刚好卡阈值的文件试试

比如你设的是20M的上传限制，你就传个19.9M的文件，看能不能正常上传，再传个20.1M的文件，看会不会提示超出大小限制，要是两个结果都符合预期，说明大小设置没问题，要是大的能传上去或者小的传不上，就回去查三个参数是不是一致，肯定是哪里漏改了，别嫌麻烦，等用户要传文件的时候发现传不上，你再临时改就尴尬了。

测格式：分别传允许和禁止的格式

比如你允许传PDF，就传个正常的PDF试试能不能上传，再故意传个改了后缀的php文件，看会不会被系统拦截，要是可执行文件能正常上传，你赶紧回去改phpcms附件上传设置的格式白名单，这就是个天大的漏洞，别等被黑了才后悔。我现在每次改完格式配置，都要试个七八种不同的格式，确保不该进的全进不来，才敢放心上线。

测权限：换不同账号试上传

退掉管理员账号，用普通会员账号试试能不能上传，再用游客账号试试能不能上传，确保只有你授权的用户组能传文件，不然权限开错了，游客随便传违规内容，你的站被封了都不知道咋回事。就跟你家仓库装完门禁，得自己扮成陌生人试试能不能撬开门，确认安全了才敢放贵重东西进去对吧？

其实啊，phpcms附件上传设置这点事儿真的不难，难的是你有没有耐心抠细节，别嫌麻烦，你现在多花十分钟把phpcms附件上传设置调明白，后面能省你好几个月的麻烦。我这几年搭了二十多个PHPCMS的站，每次上线第一步就是先调phpcms附件上传设置，从来没在上传这块出过问题，就跟你开小卖部先把进货通道理顺了，后面做生意才顺风顺水，钱都比别人赚的多。对了，要是你调phpcms附件上传设置的时候遇到啥奇奇怪怪的问题，评论区留个言，我看到了给你解答，都是踩过坑的自己人，能帮一把是一把，大家一起把站做好，赚的盆满钵满！