PHP文件包含怎么防止路径穿越-php教程-PHP中文网

realpath()校验必须配合白名单根目录，否则无法防穿越；它仅规范化路径（如将../../etc/passwd转为/etc/passwd），需用str_starts_with()或strpos()比对是否位于授权目录内，并严格检查返回值是否为false。

php文件包含怎么防止路径穿越

realpath() 校验必须配合白名单根目录

直接调用 realpath() 并不能自动防穿越，它只做路径规范化——把 ../../etc/passwd 变成 /etc/passwd，但不会拒绝这个结果。关键在后续比对：你得提前定义一个合法根目录（比如 /var/www/app/files/），再检查 realpath() 返回值是否以该路径开头。

常见错误是漏掉末尾斜杠或没判 false：

realpath() 对非法路径（不存在、越权、含空字节）返回 false，不检查就直接拼接会出错
根目录变量如 $root = '/var/www/app/files' 缺少末尾 /，会导致 strpos($real_path, $root) === 0 匹配到 /var/www/app/filestmp/... 这类子串
PHP 8.0+ 优先用 str_starts_with($real_path, $root)，更安全且语义明确

basename() 截断仅适用于单层文件名场景

如果你的业务只要读取上传目录下的「纯文件名」（如 report.pdf），basename() 是轻量有效的防御手段；但它无法对抗 URL 编码绕过（如 %2e%2e%2fetc%2fpasswd）或空字节截断（file.php%00.jpg），所以必须搭配白名单根目录 + 存在性校验。

实操要点：

先 $safe_name = basename($_GET['file'])，再手动拼接：$full_path = '/var/www/app/uploads/' . $safe_name
必须检查 $safe_name 是否为空、是否为 . 或 ..：if (in_array($safe_name, ['.', '..'], true)) { die('Invalid filename'); }
最后一定要调用 is_file($full_path) && is_readable($full_path)，避免因符号链接或权限问题导致意外访问

文件包含函数 require/include 必须禁用动态路径

所有 include()、require()、include_once()、require_once() 都不该直接接收用户输入作为参数。哪怕你用了 realpath() 校验，一旦路径被绕过，PHP 就会执行任意代码——这不是读文件，是远程代码执行。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

安全替代方案只有两种：

白名单数组硬编码：$allowed = ['page1.php', 'page2.php']; if (in_array($_GET['page'], $allowed)) { include($_GET['page']); }
ID 映射查表：前端传 file_id=123，后端查数据库获取对应磁盘路径，彻底隔离用户输入与文件系统路径

别信“过滤 ../ 就行”——攻击者可用 ....//、%2e%2e%2f、双写、Unicode 编码等多种方式绕过正则或 str_replace()。

fopen() 和 file_get_contents() 同样需要路径校验

很多人以为只有 include() 才危险，其实 fopen()、file_get_contents()、readfile() 等读取函数只要参数可控，一样会触发路径穿越，只是后果通常是敏感文件泄露而非代码执行。

它们和 include() 共享同一套校验逻辑，但有一个易忽略点：

fopen() 在 open_basedir 开启时会提前拦截，但该配置不是默认启用，也不能替代应用层校验
file_get_contents() 若传入 URL（如 http://），需确认 allow_url_fopen 是否关闭；否则可能引发 SSRF
所有读取操作前，必须确保路径已通过 realpath() + 白名单或 basename() + 根目录拼接验证

最麻烦的是，这类漏洞往往不出错——file_get_contents('../../etc/passwd') 成功返回内容，而开发者根本没意识到问题存在。