PHP8.0 如何过滤用户输入防止 include 函数文件包含-php教程-PHP中文网

PHP 8.0 防止文件包含漏洞的核心是禁用动态路径拼接，强制采用白名单映射或 basename+realpath 双重校验，并关闭 allow_url_include、拦截伪协议，结合 Psalm 污点分析主动识别风险。

php8.0 如何过滤用户输入防止 include 函数文件包含

PHP 8.0 本身不提供自动过滤机制，防止 include 文件包含漏洞的关键，在于彻底杜绝用户输入直接参与文件路径构造。include、require 等函数一旦拼接了未校验的 $_GET、$_POST 或其他可控参数，就极易触发 LFI（本地文件包含）甚至 RCE（远程代码执行）。PHP 8.0 移除了 allow_url_include 和 assert() 字符串执行等危险机制，但对开发者自己写的不安全 include 调用毫无防护作用。

严格禁止动态路径拼接

这是最根本的防线。任何形如 include($_GET['file'] . '.php') 或 require 'modules/' . $_POST['action'] . '.inc' 的写法都必须删除或重构。

改用白名单映射：将合法值硬编码为键值对，只允许从预设集合中选取
示例：$allowed = ['dashboard' => 'admin/dashboard.php', 'profile' => 'user/profile.php']; $page = $_GET['page'] ?? 'dashboard'; include $allowed[$page] ?? die('Invalid page');
绝对不要用字符串拼接、正则替换、黑名单过滤（如删 ../）来“修复”路径——这些方式在多层编码、空字节、大小写绕过等场景下全部失效

路径规范化与真实路径校验

若业务逻辑确实需要读取用户指定子目录下的文件（如模板、配置），必须做两级验证：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

先用 basename() 提取文件名，剥离所有路径信息；再拼接进固定根目录，例如：$root = __DIR__ . '/templates/'; $file = basename($_GET['tpl']); include $root . $file . '.php';
再用 realpath() 获取真实路径，并检查是否仍在预期目录内：$full = realpath($root . $file . '.php'); if (!$full || strpos($full, $root) !== 0) { die('Access denied'); }
注意：realpath 对不存在的文件返回 false，需提前判断

禁用危险协议与外部加载

PHP 8.0 已移除 allow_url_include 指令，但为防低版本兼容或配置残留，仍需确认其关闭：

在 php.ini 中确保：allow_url_include = Off（默认即为 Off）
检查运行时配置：var_dump(ini_get('allow_url_include')); 应返回空字符串或 '0'
避免使用 php://filter、data://、phar:// 等伪协议参与 include，这类调用即使路径可控，也应在代码层主动拦截

用 Psalm 等工具主动发现隐患

静态分析能提前暴露潜藏的危险模式：

在 Psalm 配置中启用污点分析：<taintanalysis></taintanalysis>
标记用户输入源（如 think\Request::get() 或 $_GET）为污染源
当检测到污染数据流入 include、require、file_get_contents 等敏感函数时，Psalm 会明确报出 TaintedInput 错误
配合 CI/CD 流程，在合并前阻断含高危调用的代码提交

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！