웹 애플리케이션에서 파일을 서버로 전송하려면 클라이언트 측 <form> 태그에 enctype="multipart/form-data" 속성이 반드시 설정되어야 합니다. 이 속성은 브라우저가 데이터를 전송할 때 단일 인코딩 대신 다중 파트(Multi-part) 형식의 HTTP 페이로드를 구성하도록 지시합니다. 이때 전송된 바이너리 스트림은 일반 웹 서버(Apache, Nginx 등)의 기본 요청 처리 로직을 거친 후 PHP 인터프리터로 전달됩니다.

PHP는 HTTP 요청을 수신하는 즉시 내부 파서 모듈을 활성화하여 multipart/form-data 페이로드를 분석합니다. 이 과정은 개발자가 작성한 스크립트 코드가 실행되기 전에 발생합니다. 분석된 파일 데이터는 php.ini의 upload_tmp_dir 지시자에 명시된 디렉터리에 임시 파일로 자동 저장됩니다. 예를 들어, 로컬 개발 환경에서 해당 경로가 /tmp/php_uploads로 설정되어 있다면, 요청이 도달하는 순간 고유한 이름을 가진 임시 파일이 생성됩니다. 이 파일은 요청 수명이 종료되거나 스크립트 실행이 완료되면 PHP 엔진에 의해 자동으로 삭제되므로, 영구 저장을 위해서는 별도의 처리가 필요합니다.

서버 측 스크립트에서 업로드된 파일에 접근하려면 $_FILES 전역 배열을 활용합니다. PHP는 임시 파일의 실제 저장 경로, 원본 파일명, MIME 타입, 업로드 상태 코드 및 파일 크기를 이 배열에 자동으로 매핑합니다. 안전한 파일 저장을 위해서는 단순 복사보다 전용 내장 함수를 사용하는 것이 표준 관행입니다.

다음 예제는 요청된 파일을 검증한 후 영구 저장소로 이동하는 처리 로직을 보여줍니다.

<form id="fileUploadForm" action="upload_handler.php" method="POST" enctype="multipart/form-data">
  <label for="docFile">업로드할 문서 선택:</label>
  <input type="file" id="docFile" name="submitted_document" required>
  <button type="submit">전송하기</button>
</form>

<?php
// upload_handler.php
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_FILES['submitted_document'])) {
    $uploadData = $_FILES['submitted_document'];
    $allowedExtensions = ['jpg', 'png', 'pdf', 'docx'];
    $maxSize = 5 * 1024 * 1024; // 5MB

    $extension = strtolower(pathinfo($uploadData['name'], PATHINFO_EXTENSION));
    
    // 파일 크기 및 확장자 유효성 검사
    if ($uploadData['error'] === UPLOAD_ERR_OK && 
        $uploadData['size'] <= $maxSize && 
        in_array($extension, $allowedExtensions)) {
        
        $destinationDir = '/var/www/html/uploads/';
        $finalFilename = uniqid('file_', true) . '.' . $extension;
        $targetPath = $destinationDir . $finalFilename;

        if (move_uploaded_file($uploadData['tmp_name'], $targetPath)) {
            echo json_encode(['status' => 'success', 'file' => $finalFilename]);
        } else {
            echo json_encode(['status' => 'error', 'message' => '저장 실패']);
        }
    } else {
        echo json_encode(['status' => 'error', 'message' => '규격 위반']);
    }
}
?>

위 코드에서 move_uploaded_file() 함수는 내부적으로 is_uploaded_file() 검증을 포함하므로, 악의적으로 조작된 경로 공격을 방지할 수 있습니다. 또한 $_FILES 배열의 error 키를 확인하여 UPLOAD_ERR_OK(값 0)일 경우에만 처리를 진행하면 네트워크 중단이나 서버 디스크 부족 등 다양한 업로드 예외 상황을 안전하게 핸들링할 수 있습니다. 개발자는 임시 디렉터리의 접근 권한을 제한하고, 업로드 경로를 웹 루트 외부에 두는 추가 보안 조치를 결합할 수 있습니다.