剖析 WordPress `wp_upload_bits()` 函数的源码：它在处理文件上传时，如何调用 `WP_Filesystem` 来写入文件。 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

各位技术控，早上好！今天咱们来扒一扒 WordPress 里的一个重要函数 wp_upload_bits()，看看它是怎么把文件上传这事儿给安排明白的。重点是，它背后默默奉献的 WP_Filesystem 类，这家伙可是 WordPress 操作文件系统的关键先生。

开场白：别让文件上传搞得头大

文件上传，听起来简单，但背后的水可深了。权限问题、安全漏洞、文件存储位置，稍不留神就能给你挖个坑。WordPress 作为一个成熟的 CMS，自然考虑到了这些。 wp_upload_bits() 就是它处理文件上传的一大利器，而 WP_Filesystem 则是它手中的瑞士军刀。

wp_upload_bits()：上传的门面担当

首先，我们来看看 wp_upload_bits() 这个函数。它的作用就是接收文件内容，然后把它写入到 WordPress 的上传目录里。

function wp_upload_bits( $name, $deprecated, $bits, $time = null ) {
    if ( ! empty( $deprecated ) ) {
        _deprecated_argument( __FUNCTION__, '2.0' );
    }

    if ( empty( $name ) ) {
        return array( 'error' => __( 'Empty filename.' ) );
    }

    $wp_filetype = wp_check_filetype( $name );

    if ( ! $wp_filetype['ext'] && ! current_user_can( 'unfiltered_upload' ) ) {
        return array( 'error' => __( 'Sorry, this file type is not permitted for security reasons.' ) );
    }

    $upload = wp_upload_dir( $time );

    if ( ! ( ( $upload['error'] == false ) && ( ! empty( $upload['basedir'] ) ) ) ) {
        return $upload;
    }

    $filename = wp_unique_filename( $upload['path'], $name );

    # Move the file to the uploads dir
    $new_file = trailingslashit( $upload['path'] ) . $filename;

    $ifile = fopen( 'php://temp', 'r+' );
    fwrite( $ifile, $bits );
    fseek( $ifile, 0 );

    if ( false === ( $move_new_file = @move_uploaded_file( $ifile, $new_file ) ) ) {
        if ( ! @ is_writable( dirname( $new_file ) ) ) {
            $message = sprintf( __( 'The upload directory %s is not writable.' ), dirname( $new_file ) );
        } else {
            $message = __( 'Unknown error.' );
        }

        return array( 'error' => $message );
    }

    $url = trailingslashit( $upload['url'] ) . $filename;

    $file = array( 'file' => $new_file, 'url' => $url, 'type' => $wp_filetype['type'] );

    return $file;
}

我们来分解一下这个函数的核心步骤：

参数检查： 确保文件名不为空，并检查文件类型是否允许上传（除非用户有 unfiltered_upload 权限）。
获取上传目录： 调用 wp_upload_dir() 获取上传目录的信息，包括路径、URL 等。
生成唯一文件名： 调用 wp_unique_filename() 避免文件名冲突，确保每个上传的文件都有一个唯一的名字。
写入文件： fopen()打开一个内存流，将文件二进制数据写入到内存流，然后move_uploaded_file()将内存流中的文件移动到上传目录。
返回文件信息： 构建一个包含文件路径、URL 和 MIME 类型的数组，并返回。

WP_Filesystem：幕后的文件操作大师

虽然上面的代码直接使用了move_uploaded_file()，但是WordPress的核心思想是使用WP_Filesystem来操作文件系统，以便能够兼容各种服务器环境。在某些场景下，wp_upload_bits() 内部可能会使用 WP_Filesystem 来写入文件。

WP_Filesystem 的初始化

WP_Filesystem 本身是一个抽象类，我们需要先初始化一个具体的实现类才能使用。WordPress 提供了多种实现，比如 WP_Filesystem_Direct (直接访问文件系统)、WP_Filesystem_SSH2 (通过 SSH2 访问) 等。

global $wp_filesystem;

if ( empty( $wp_filesystem ) ) {
    require_once ABSPATH . 'wp-admin/includes/file.php';
    WP_Filesystem(); // 初始化 $wp_filesystem
}

// 现在 $wp_filesystem 对象就可以使用了

WP_Filesystem 的常用方法

WP_Filesystem 提供了许多用于文件操作的方法，以下是一些常用的：

方法名	作用
`put_contents()`	将字符串写入文件
`get_contents()`	读取文件内容
`move()`	移动文件
`copy()`	复制文件
`delete()`	删除文件
`is_writable()`	检查文件或目录是否可写
`mkdir()`	创建目录
`rmdir()`	删除目录
`exists()`	检查文件或目录是否存在

模拟 wp_upload_bits() 使用 WP_Filesystem

为了更好地理解 WP_Filesystem 的作用，我们来模拟一下 wp_upload_bits() 函数，使用 WP_Filesystem 来写入文件。

function my_upload_bits( $name, $bits, $time = null ) {
    global $wp_filesystem;

    if ( empty( $name ) ) {
        return array( 'error' => __( 'Empty filename.' ) );
    }

    $wp_filetype = wp_check_filetype( $name );

    if ( ! $wp_filetype['ext'] && ! current_user_can( 'unfiltered_upload' ) ) {
        return array( 'error' => __( 'Sorry, this file type is not permitted for security reasons.' ) );
    }

    $upload = wp_upload_dir( $time );

    if ( ! ( ( $upload['error'] == false ) && ( ! empty( $upload['basedir'] ) ) ) ) {
        return $upload;
    }

    $filename = wp_unique_filename( $upload['path'], $name );

    # Move the file to the uploads dir
    $new_file = trailingslashit( $upload['path'] ) . $filename;

    // 使用 WP_Filesystem 将文件内容写入文件
    if ( ! $wp_filesystem->put_contents( $new_file, $bits, FS_CHMOD_FILE ) ) {
        return array( 'error' => __( 'Failed to write file to disk.' ) );
    }

    $url = trailingslashit( $upload['url'] ) . $filename;

    $file = array( 'file' => $new_file, 'url' => $url, 'type' => $wp_filetype['type'] );

    return $file;
}

在这个例子中，我们使用了 $wp_filesystem->put_contents() 来代替 move_uploaded_file()。 put_contents() 函数会将 $bits 中的文件内容写入到 $new_file 指定的文件中。 FS_CHMOD_FILE 是一个常量，用于设置文件的权限。

FS_CHMOD_FILE 和 FS_CHMOD_DIR：权限设置的小秘密

FS_CHMOD_FILE 和 FS_CHMOD_DIR 是 WordPress 中用于设置文件和目录权限的常量。它们定义在 wp-config.php 文件中，如果没有定义，则使用默认值。

常量	默认值	作用
`FS_CHMOD_FILE`	`0644`	设置文件的权限。 `0644` 表示文件所有者拥有读写权限，组用户和其他用户拥有只读权限。
`FS_CHMOD_DIR`	`0755`	设置目录的权限。 `0755` 表示目录所有者拥有读写执行权限，组用户和其他用户拥有读和执行权限。

为什么要用 WP_Filesystem？

你可能会问，直接使用 PHP 的文件操作函数不是更简单吗？为什么要绕这么一大圈，用 WP_Filesystem 呢？原因如下：

兼容性： WP_Filesystem 抽象了不同的文件系统访问方式，使得 WordPress 可以在各种服务器环境下运行，而无需修改核心代码。比如，在某些服务器上，PHP 可能没有直接访问文件系统的权限，这时可以使用 WP_Filesystem_SSH2 通过 SSH2 协议来访问。
安全性： WP_Filesystem 提供了一些安全措施，比如权限检查、路径过滤等，可以防止恶意用户利用文件上传漏洞攻击网站。
可扩展性： WP_Filesystem 允许开发者自定义文件系统访问方式，以满足特定的需求。

实际应用场景

WP_Filesystem 在 WordPress 中被广泛使用，以下是一些常见的应用场景：

主题和插件的安装和更新： WordPress 使用 WP_Filesystem 将主题和插件文件写入到服务器。
媒体文件的上传和处理： wp_upload_bits() 就是一个典型的例子。
缓存文件的创建和删除： 一些缓存插件使用 WP_Filesystem 来管理缓存文件。
远程文件的访问： WordPress 可以使用 WP_Filesystem 通过 FTP、SSH2 等协议访问远程文件。

WP_Filesystem 的进阶用法

除了上面介绍的常用方法，WP_Filesystem 还有一些高级用法，可以帮助你更灵活地操作文件系统。

使用 WP_Filesystem_Base 创建自定义文件系统： 你可以继承 WP_Filesystem_Base 类，并实现自己的文件系统访问逻辑。
使用 WP_Filesystem_FTP 或 WP_Filesystem_SSH2 访问远程文件： 你可以使用这些类连接到远程服务器，并操作远程文件。
使用 WP_Filesystem_Mock 进行单元测试： 你可以使用这个类模拟文件系统，方便进行单元测试。

文件上传安全注意事项

文件上传是 Web 应用中一个常见的安全风险点。为了防止恶意用户利用文件上传漏洞攻击网站，你需要注意以下几点：

文件类型验证： 只允许上传指定类型的文件，并对文件类型进行严格的验证。不要仅仅依靠文件扩展名来判断文件类型，因为文件扩展名可以被伪造。
文件名过滤： 对文件名进行过滤，防止文件名中包含恶意代码。比如，可以移除文件名中的特殊字符，或者使用随机字符串作为文件名。
文件大小限制： 限制上传文件的大小，防止恶意用户上传过大的文件，导致服务器资源耗尽。
文件存储位置： 将上传的文件存储在 Web 服务器无法直接访问的目录中，防止恶意用户直接访问上传的文件。
权限控制： 对上传的文件设置合适的权限，防止恶意用户修改或删除上传的文件。
内容安全策略 (CSP)： 使用 CSP 限制浏览器可以加载的资源类型，防止恶意用户通过上传恶意文件来执行 JavaScript 代码。

总结：掌握 wp_upload_bits() 和 WP_Filesystem，玩转文件上传

今天我们深入剖析了 WordPress 的 wp_upload_bits() 函数，以及它背后的文件操作大师 WP_Filesystem。掌握了这些知识，你就能更好地理解 WordPress 的文件上传机制，并能更安全、更灵活地处理文件上传相关的任务。记住，文件上传虽小，安全无小事！

希望今天的讲解对你有所帮助。谢谢大家！

发表回复 取消回复

发表回复取消回复