上傳文件後用md5_file() 做服務器端驗證

M66 2025-06-01

在Web開發中，文件上傳功能非常常見，但隨之而來的是文件完整性和安全性的驗證問題。為了確保上傳的文件未被篡改或損壞，PHP提供了md5_file()函數，能夠計算文件的MD5散列值，從而實現完整性驗證。

本文將詳細介紹如何使用md5_file()函數對上傳的文件進行服務器端的完整性驗證，並結合實際PHP代碼示例說明其應用方法。

什麼是md5_file() 函數？

md5_file()是PHP的一個內置函數，用於計算指定文件的MD5哈希值。 MD5是一種廣泛使用的哈希算法，可以將任意長度的數據映射為固定長度的32位字符串。通過對比上傳前後文件的MD5值是否一致，可以判斷文件是否發生了改變。

函數原型：

 string md5_file ( string $filename [, bool $raw_output = false ] )

$filename ：需要計算MD5值的文件路徑。
$raw_output ：如果設為true ，返回原始二進制格式的MD5摘要，默認false返回32位16進製字符串。

文件上傳和完整性驗證的流程

用戶通過表單上傳文件到服務器。
服務器臨時保存上傳文件。
服務器調用md5_file()計算文件的MD5值。
將該MD5值與客戶端或數據庫中預期的MD5值做比對。
判斷文件是否完整。

實際示例代碼

以下是一個完整的文件上傳與完整性驗證示例：

 <?php
if ($_SERVER['REQUEST_METHOD'] == 'POST') {
    if (isset($_FILES['uploaded_file']) && $_FILES['uploaded_file']['error'] == UPLOAD_ERR_OK) {
        // 上傳文件臨時路徑
        $tmpFilePath = $_FILES['uploaded_file']['tmp_name'];
        
        // 目標保存路徑（可根據需求修改）
        $destination = __DIR__ . '/uploads/' . basename($_FILES['uploaded_file']['name']);
        
        // 移動上傳文件到目標目錄
        if (move_uploaded_file($tmpFilePath, $destination)) {
            
            // 計算上傳文件的MD5值
            $md5Hash = md5_file($destination);
            
            // 假設前端或數據庫預先知道文件的MD5值（這裡舉例為固定值）
            $expectedMd5 = 'd41d8cd98f00b204e9800998ecf8427e';  // 示例MD5
            
            // 驗證文件完整性
            if ($md5Hash === $expectedMd5) {
                echo "文件上傳成功，且文件完整性驗證通過！";
            } else {
                echo "文件上傳成功，但文件完整性驗證失敗！";
            }
        } else {
            echo "文件保存失敗！";
        }
    } else {
        echo "沒有上傳文件或上傳出錯！";
    }
}
?>

HTML上傳表單示例

<form action="upload.php" method="post" enctype="multipart/form-data">
    <label for="file">選擇文件上傳：</label>
    <input type="file" name="uploaded_file" id="file" />
    <button type="submit">上傳</button>
</form>

注意事項

安全性：上傳文件要嚴格控制類型和大小，防止惡意文件上傳。
MD5碰撞：MD5算法存在碰撞風險，若對安全要求極高，可考慮使用更安全的哈希函數，如sha256_file() 。
文件路徑權限：確保上傳目錄有寫權限且不可直接通過URL訪問，防止洩露。
客戶端MD5值：如果客戶端提供文件MD5值，應通過安全渠道傳輸，防止被篡改。

總結

使用md5_file()函數對上傳文件進行完整性驗證是一種簡單有效的做法，可以快速判斷文件是否被篡改或上傳錯誤。結合上傳流程的其他安全措施，能夠提昇文件處理的可靠性和安全性。

md5_file