附件上传存储与安全策略配置

附件能不能传上去，取决于三件事：白名单里有没有这个扩展名、PHP 限额够不够大、uploads 目录能不能写；而附件安不安全，取决于扩展名白名单、版块上传权限矩阵和下载权限三者的组合。这三层都配对了，用户传得顺、站点也不会被塞进可执行脚本。

先记住：图片和附件是两套独立白名单

很多站长排查半天，最后发现是改错了字段——后台「系统设置→上传」里有"允许的扩展名"（管图片）和"附件允许的扩展名"（管附件），这是两个互不相干的字段。结论：改图片白名单不会影响附件，反之亦然。

所以配置思路很清楚：图片白名单只放 jpg/jpeg/png/gif/webp 这类真图片格式；附件白名单按站点定位来定——技术站可加 zip/rar/7z/pdf/txt/md，资源站可加 apk/exe，但每加一个格式就等于多担一份风险。

注意一点：上传失败时页面会直接提示具体原因（例如超过 PHP 上限、白名单不符、目录不可写），别凭猜，先看提示。

PHP 层限额：宝塔默认 2M 是最大的坑

结论：白名单对了还是传不动，90% 的情况是 PHP 的 `upload_max_filesize` 和 `post_max_size` 太小。

宝塔面板默认这两个值都是 2M，而现在手机随手拍一张照片就 3-5M，压缩包动辄几十 M。建议直接把两个值都调到 30M 以上，并且 `post_max_size` 要 ≥ `upload_max_filesize`（表单里还有其他字段，留点余量更稳）。改完记得重启 PHP 或重载配置。

如果只是少数用户传大文件，也可以走另一个思路：用网盘链接模式，见下文第五节。

目录权限与存储位置

结论：不管白名单和限额怎么配，uploads 目录不可写就一定失败。

这是最容易被忽略的一层——迁移服务器、切换用户、面板改过目录属主之后，权限经常被打回 755 甚至 644。排查顺序建议固定为：看页面提示 → 查白名单 → 查 PHP 限额 → 查目录权限，四步走完基本能定位。

另外后台「系统设置」里提供了云存储相关配置，如果站点附件体量大、带宽吃紧，可以把存储外移，留出服务器磁盘给数据库。具体对接按后台字段填写对应参数即可。

安全策略：白名单 + 权限矩阵 + 下载权限

结论：附件安全不是靠一个开关，而是靠"能传什么、谁能传、谁能下"这三道闸门叠加。

第一道是扩展名白名单，这是系统安全基线的一部分，黑名单式拦截（禁止 php、phtml 之类）远不如白名单可靠。图片上传还额外做了二次校验，改后缀的假图片过不了。

第二道是版块级权限矩阵：后台「用户组权限」里，浏览／发帖／回复／上传是按版块 × 用户组配置的，留空则继承上级。如果你不想让新注册用户往主版块丢压缩包，把该组的"上传"权限留空或关掉就行，比全站禁用灵活得多。

第三道是下载权限，这在发帖时逐个附件设置（下一节细说）。

把附件变成收入：定价、下载权限与网盘模式

结论：附件可以卖钱，发帖时在附件面板设价格与货币即可，0 表示免费。

价格之外还能单独设下载权限，选项是"所有人／会员／指定用户组"。常见的组合是：小工具免费引流，成套资源设会员可见，定制资料定价出售。交易走系统统一记账，作者收益清晰。

如果文件特别大或者你不想占用服务器存储，改用网盘链接模式附件——填链接和提取码即可，用户点开看到的是网盘地址，服务器上不落文件。这也是绕开 PHP 上传限额最省事的办法。

日常运维与排查清单

结论：把「附件管理」和固定的四步排查法用起来，附件这块基本不需要再救火。

后台「附件管理」可以查看和清理已上传的附件；帖子被前台删除会进回收站（默认保留 30 天，可恢复，天数可配），到期才彻底删除，所以误删附件不必慌。

遇到上传报错，按这个顺序核一遍：① 页面提示的具体原因；② 图片与附件两个白名单字段是否都包含该格式；③ `upload_max_filesize` / `post_max_size` 是否大于文件体积；④ uploads 目录是否可写。

把白名单收窄、限额调够、目录权限固定、权限矩阵按用户组分级，再配合定价与网盘模式，附件模块就能同时做到"传得进去"和"卖得出去"，而且不会成为站点的安全短板。