从零搭建上传文件网站根目录：建站公司拖一周的痛，我用代码解决了

改个需求建站公司拖一周，这句话说的不是危言耸听。上个月我接了个客户，原本是想做个简单的文件上传网站，结果折腾了两周还没上线。后来我亲自上手，发现建站公司只顾着搞花里胡哨的界面，核心功能反而没搞明白。现在我来分享一下，从零搭建上传文件网站根目录的全过程，避免你踩同样的坑。

项目背景与需求

这项目是给一家中小型企业做的，他们主要做的是线上资料共享，比如合同、设计稿、产品图等等。他们希望用户能够直接上传文件到网站根目录，然后通过链接下载。听起来简单，实则暗藏玄机。

需求梳理

用户上传文件：需要支持多种格式，比如 PDF、图片、压缩包等。
文件存储在网站根目录：这意味着上传的文件要直接放在服务器的根目录下，而不是子目录或数据库中。
用户可通过链接下载：上传后的文件要有一个访问路径，比如 http://example.com/files/20240401/file1.pdf。
权限管理：只有注册用户可以上传文件，下载文件需要登录后才能访问。
安全性：防止恶意文件上传，比如脚本、可执行文件等。

这些需求看起来不难，但实际操作中，文件路径管理、权限控制、安全过滤，每一步都得小心。

技术选型

做网站开发，选对技术栈是关键。根据项目需求，我选择了 PHP + MySQL + Apache + Linux 的组合，这套方案在中小型项目中很常见，也相对稳定。

为什么选这些技术？

PHP：PHP 在处理表单、文件上传、权限管理上非常方便，适合中小型项目。
MySQL：用于存储用户信息、文件记录等数据。
Apache：支持 .htaccess 配置，便于设置文件访问权限。
Linux：安全性高，适合部署生产环境。

当然，也可以用 Nginx + PHP-FPM + MySQL，但考虑到用户需求是直接上传到网站根目录，Apache 的 .htaccess 配置会更直观，方便管理。

安全与合规

在部署前，我参考了 阿里云官方文档 的《Web 安全最佳实践》，做了以下几点准备：

服务器防火墙配置：限制不必要的端口开放。
SSL证书部署：确保上传和下载过程的数据加密。
文件上传过滤：禁止上传 .php、.exe 等可执行文件。
定期备份数据库和文件目录：防止数据丢失。

这些配置在上线前就已经完成，为后续的运维节省了不少麻烦。

核心实现：上传文件并存储到网站根目录

上传文件的逻辑其实不复杂，关键在于对上传路径的控制。下面我简单写了一个 PHP 脚本，用来实现文件上传并保存到网站根目录。

上传脚本示例（upload.php）

<?php
session_start();// 检查用户是否登录
if (!isset($_SESSION['user_id'])) {die("请先登录");
}// 设置允许上传的文件类型
$allowed_types = ['pdf', 'jpg', 'jpeg', 'png', 'zip', 'rar'];// 设置文件路径
$upload_dir = '/var/www/html/files/'; // 网站根目录下的 files 文件夹// 检查上传是否成功
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['file'])) {$file = $_FILES['file'];$file_name = basename($file['name']);$file_type = strtolower(pathinfo($file_name, PATHINFO_EXTENSION));$file_tmp = $file['tmp_name'];$file_size = $file['size'];// 检查文件类型if (!in_array($file_type, $allowed_types)) {die("不允许上传此类型文件");}// 检查文件大小（限制为 10MB）if ($file_size > 10 * 1024 * 1024) {die("文件大小超过限制");}// 生成唯一文件名，防止重名$unique_name = md5($file_name . time()) . '.' . $file_type;$target_path = $upload_dir . $unique_name;// 移动上传的文件if (move_uploaded_file($file_tmp, $target_path)) {echo "上传成功，文件路径: http://example.com/files/$unique_name";} else {die("上传失败");}
}
?><form method="post" enctype="multipart/form-data"><input type="file" name="file" required><button type="submit">上传</button>
</form>

文件访问路径配置（.htaccess）

为了让用户可以通过链接访问上传的文件，还需要配置 Apache 的 .htaccess 文件，设置访问权限。

<Directory "/var/www/html/files">Options Indexes FollowSymLinksAllowOverride NoneRequire all granted
</Directory>

这个配置允许用户通过 URL 直接访问 http://example.com/files/ 下的文件，同时也禁止了目录列表（即不显示文件夹里的文件列表）。

用户登录验证

用户上传文件前，必须登录，这里我简单用 Session 来管理登录状态。实际项目中，建议使用 JWT 或 OAuth2 来提高安全性。

上线与优化

部署流程

代码上传：通过 Git 将代码推送到服务器。
环境配置：确保服务器 PHP、MySQL、Apache 已安装，并设置好运行环境。
数据库导入：将用户表、文件记录表等数据导入 MySQL。
权限设置：确保 /var/www/html/files/ 目录可写。
配置 SSL：使用 Let's Encrypt 为网站部署 SSL 证书，保证上传和下载过程安全。
域名备案：在中国境内部署网站，需完成 ICP 备案（阿里云官方文档有详细流程）。
服务器防火墙设置：限制外部 IP 访问，防止攻击。

优化建议

CDN 加速：上传的文件较大时，可以使用 CDN 加速下载速度。
文件缓存：对于经常访问的文件，可以使用缓存技术减少服务器负载。
日志记录：记录用户上传、下载行为，便于审计与排查问题。

常见问题与解决方案

问题	原因	解决方案
上传失败	权限不足	检查服务器目录权限，确保 PHP 有写入权限
上传路径错误	路径配置错误	检查 `upload_dir` 是否正确，是否指向网站根目录
文件类型被拦截	过滤规则太严格	可适当放宽过滤规则，但务必控制在安全范围内
上传速度慢	网络不稳定	使用 HTTPS 建议压缩上传内容，或使用分片上传
下载权限不足	权限控制未生效	检查 Session 与登录验证逻辑是否正确