Image Upload Script

हम क्या बना रहे हैं

Image upload users को एक तस्वीर — profile photo, product image — आपके server को भेजने देता है। इसके दो हिस्से हैं: एक HTML form जो file भेजता है, और PHP जो उसे पाता, जाँचता और save करता है। जाँच ठीक से करना ज़रूरी है, क्योंकि uploads आम security कमज़ोर बिंदु हैं।

Upload form

<form method="post" action="upload.php"
      enctype="multipart/form-data">
  <input type="file" name="photo">
  <button type="submit">Upload</button>
</form>

मुख्य हिस्सा है enctype="multipart/form-data" — इसके बिना file खुद नहीं भेजी जाती, सिर्फ़ उसका नाम। input का name ("photo") ही है जिससे PHP उसे ढूँढता है।

$_FILES पढ़ना

<?php
  $file = $_FILES["photo"];
  echo $file["name"];      // मूल नाम
  echo $file["size"];      // bytes में size
  echo $file["tmp_name"];  // server पर temporary path
?>

PHP upload को $_FILES["photo"] में रखता है। ज़रूरी field है tmp_name — वो temporary जगह जहाँ PHP ने file save की जब तक आप move न करें।

Type और size जाँचना

<?php
  $file = $_FILES["photo"];
  $allowed = ["jpg", "jpeg", "png"];
  $ext = strtolower(pathinfo($file["name"], PATHINFO_EXTENSION));

  if ($file["size"] > 2 * 1024 * 1024) {
      echo "File too big (max 2MB)";
  } elseif (!in_array($ext, $allowed)) {
      echo "Only JPG and PNG allowed";
  } elseif (!getimagesize($file["tmp_name"])) {
      echo "Not a real image";
  } else {
      echo "OK to save";
  }
?>

हम size जाँचते हैं, सिर्फ़ सुरक्षित extensions allow करते हैं, और getimagesize() से पक्का करते हैं कि यह असली image है। तीनों जाँच मायने रखती हैं — बुरी file छुपाई जा सकती है।

File save करना

<?php
  $newName = "uploads/" . uniqid() . "." . $ext;
  if (move_uploaded_file($file["tmp_name"], $newName)) {
      echo "Uploaded as $newName";
  }
?>

हम uniqid() से unique नाम बनाते हैं (user के file नाम पर कभी भरोसा नहीं) और file को move_uploaded_file से move करते हैं, जो यह भी पक्का करता है कि यह असली upload थी।

Security tips

• File rename कीजिए अपने बनाए value पर — user का नाम मत रखिए।
• सिर्फ़ image extensions allow कीजिए और getimagesize() से verify कीजिए।
• Size limit कीजिए ताकि विशाल uploads आपकी disk न भरें।
• .php या दूसरी executable files upload कभी allow न कीजिए।

आम गलतियाँ

• enctype छूटना। तब file नहीं भेजी जाती, सिर्फ़ उसका नाम।
• Browser के file type पर भरोसा। getimagesize() से verify कीजिए, सिर्फ़ बताए type से नहीं।
• User का file नाम रखना। clashes और छिपे scripts बचाने को rename कीजिए।
• move_uploaded_file की जगह rename इस्तेमाल करना। पहला यह भी जाँचता है कि यह असली upload थी।

सारांश

• Uploads को form पर enctype="multipart/form-data" चाहिए।
• PHP file को $_FILES में पाता है, एक tmp_name path के साथ।
• size, allowed extension जाँचिए, और getimagesize() से पक्का कीजिए।
• move_uploaded_file से बनाए नाम पर save कीजिए।
• User का नाम कभी न रखिए और .php uploads allow न कीजिए।

आगे, आसपास का form validate कीजिए form validation से, या file path रखिए MySQL में।