这是您可以按照要求清理文件系统的方法
function filter_filename($name) {
// remove illegal file system characters https://en.wikipedia.org/wiki/Filename#Reserved_characters_and_words
$name = str_replace(array_merge(
array_map('chr', range(0, 31)),
array('<', '>', ':', '"', '/', '\\', '|', '?', '*')
), '', $name);
// maximise filename length to 255 bytes http://serverfault.com/a/9548/44086
$ext = pathinfo($name, PATHINFO_EXTENSION);
$name= mb_strcut(pathinfo($name, PATHINFO_FILENAME), 0, 255 - ($ext ? strlen($ext) + 1 : 0), mb_detect_encoding($name)) . ($ext ? '.' . $ext : '');
return $name;
}
文件系统中允许其他所有内容，因此可以完美回答问题。
...，但是如果稍后在不安全的HTML上下文中使用文件名，则在文件名中使用单引号可能会很危险，'因为该文件名绝对合法：
' onerror= 'alert(document.cookie).jpg
成为XSS漏洞：
<img src='<? echo $image ?>' />
// output:
<img src=' ' onerror= 'alert(document.cookie)' />
因此，流行的CMS软件Wordpress删除了它们，但是它们仅在进行一些更新后才涵盖所有相关字符：
$special_chars = array("?", "[", "]", "/", "\\", "=", "<", ">", ":", ";", ",", "'", "\"", "&", "$", "#", "*", "(", ")", "|", "~", "`", "!", "{", "}", "%", "+", chr(0));
// ... a few rows later are whitespaces removed as well ...
preg_replace( '/[\r\n\t -]+/', '-', $filename )
最后，他们的列表现在包括URI保留字符和URL不安全字符列表中的大多数字符。
当然，您可以简单地在HTML输出上对所有这些字符进行编码，但是大多数开发人员和我也都遵循成语“比对不起更好”，并提前删除它们。
所以最后我建议使用这个：
function filter_filename($filename, $beautify=true) {
// sanitize filename
$filename = preg_replace(
'~
[<>:"/\\|?*]| # file system reserved https://en.wikipedia.org/wiki/Filename#Reserved_characters_and_words
[\x00-\x1F]| # control characters http://msdn.microsoft.com/en-us/library/windows/desktop/aa365247%28v=vs.85%29.aspx
[\x7F\xA0\xAD]| # non-printing characters DEL, NO-BREAK SPACE, SOFT HYPHEN
[#\[\]@!$&\'()+,;=]| # URI reserved https://tools.ietf.org/html/rfc3986#section-2.2
[{}^\~`] # URL unsafe characters https://www.ietf.org/rfc/rfc1738.txt
~x',
'-', $filename);
// avoids ".", ".." or ".hiddenFiles"
$filename = ltrim($filename, '.-');
// optional beautification
if ($beautify) $filename = beautify_filename($filename);
// maximize filename length to 255 bytes http://serverfault.com/a/9548/44086
$ext = pathinfo($filename, PATHINFO_EXTENSION);
$filename = mb_strcut(pathinfo($filename, PATHINFO_FILENAME), 0, 255 - ($ext ? strlen($ext) + 1 : 0), mb_detect_encoding($filename)) . ($ext ? '.' . $ext : '');
return $filename;
}
不会导致文件系统出现问题的其他所有内容都应该是附加功能的一部分：
function beautify_filename($filename) {
// reduce consecutive characters
$filename = preg_replace(array(
// "file name.zip" becomes "file-name.zip"
'/ +/',
// "file___name.zip" becomes "file-name.zip"
'/_+/',
// "file---name.zip" becomes "file-name.zip"
'/-+/'
), '-', $filename);
$filename = preg_replace(array(
// "file--.--.-.--name.zip" becomes "file.name.zip"
'/-*\.-*/',
// "file...name..zip" becomes "file.name.zip"
'/\.{2,}/'
), '.', $filename);
// lowercase for windows/unix interoperability http://support.microsoft.com/kb/100625
$filename = mb_strtolower($filename, mb_detect_encoding($filename));
// ".file-name.-" becomes "file-name"
$filename = trim($filename, '.-');
return $filename;
}
此时，如果结果为空，则需要生成一个文件名，然后可以决定是否要编码UTF-8字符。但是您不需要这样做，因为在Web托管上下文中使用的所有文件系统中都允许使用UTF-8。
唯一要做的就是使用urlencode()（希望对所有URL都使用），以便文件名საბეჭდი_მანქანა.jpg成为该URL作为您的<img src>或<a href>：http :
//www.maxrev.de/html/img/%E1%83% A1％E1％83％90％E1％83％91％E1％83％94％E1％83％AD％E1％83％93％E1％83％98_％E1％83％9B％E1％83％90％ E1％83％9C％E1％83％A5％E1％83％90％E1％83％9C％E1％83％90.jpg
Stackoverflow会这样做，因此我可以像用户那样发布此链接：http :
//www.maxrev.de/html/img/საბეჭდი_მანქანა。jpg
所以这是一个完整的法律文件名和不是一个问题，因为@ SequenceDigitale.com在他的回答中提到。