PHP本地文件包含风险怎么避免-php教程-PHP中文网

白名单机制是唯一可靠的选择：只允许预定义键名触发对应绝对路径，不拼接、不推导、不 fallback；若无法白名单，则须用 realpath() 校验绝对路径归属预期目录；open_basedir 是 php.ini 级硬限制最后一道闸门。

php本地文件包含风险怎么避免

白名单机制是唯一可靠的选择

所有依赖用户输入决定包含路径的逻辑，只要没走白名单，就等于在服务器门口挂了把弹簧锁——看着有锁，一推就开。白名单不是“建议”，是强制要求：只允许预定义的键名触发对应的绝对路径，不拼接、不推导、不 fallback。

常见错误现象：include($_GET['page'] . '.php') 这类写法哪怕加了 basename() 或正则，也挡不住 page=../../etc/passwd%00（PHP

用关联数组映射标识符到完整路径，例如 $pages = ['home' => '/var/www/inc/home.php', 'about' => '/var/www/inc/about.php']
接收参数后仅做键存在性检查：if (!isset($pages[$page])) { die('404'); }
直接 include $pages[$page];，不拼接、不加后缀、不调用 realpath()

绝对路径 + realpath() 验证目录归属

白名单做不到时（比如 CMS 插件需动态加载），必须用绝对路径配合 realpath() 确保文件真实位置落在预期目录内。不能只验证后缀或过滤 ../，因为攻击者可通过符号链接、挂载点或日志投毒绕过。

使用场景：多语言模板切换、插件模块加载等无法穷举文件名的少数情况。

先拼接基础路径：$base_dir = $_SERVER['DOCUMENT_ROOT'] . '/templates/';
清理输入：$file = basename($_GET['tpl']);，再正则限制：preg_match('/^[a-z0-9_]+\.php$/i', $file)
获取真实路径并校验：$full_path = realpath($base_dir . $file); if (strpos($full_path, $base_dir) !== 0) { die('Access denied'); }

php.ini 级别硬限制必须开启

代码层防御失效时，open_basedir 是最后一道闸门。它不依赖开发者写对逻辑，而是由 PHP 引擎强制拦截越界访问。不配置等于裸奔。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

容易踩的坑：本地开发环境常忽略此项，上线后才补，结果因路径差异导致功能异常；或只设单个目录，漏掉 session、upload、log 等实际需要读写的子目录。

在 php.ini 中设置：open_basedir = "/var/www/:/tmp/:/usr/share/php/"（多个路径用冒号分隔）
禁用远程包含：allow_url_include = Off（默认已是 Off，但必须显式确认）
检查是否被 .htaccess 或 php_admin_value 覆盖：phpinfo() 页面里搜索 open_basedir 值

require_once() 不能替代安全逻辑

有人以为用 require_once() 就比 include() 安全，这是典型误解。四个函数——include()、require()、include_once()、require_once()——在漏洞利用层面完全等价。它们的区别只在于错误处理和重复加载控制，跟路径校验毫无关系。

真正危险的是函数参数本身是否可控。哪怕写成 require_once($_REQUEST['m'] . '.class.php')，攻击者照样能注入 m=../../../etc/passwd 或通过伪协议执行任意代码。