PHP 8.1 中防范文件包含漏洞的核心是杜绝用户输入直接拼接路径，而非依赖函数加固；必须采用白名单映射、路径规范化、禁用危险配置（如allow_url_include=Off）、open_basedir限制及PSR-4自动加载等纵深防御措施。
PHP 8.1 中处理动态文件引入导致的文件包含漏洞，核心不是“怎么让 include 更安全”，而是彻底切断用户输入与文件路径的直接拼接关系。动态引入本身风险极高，PHP 8.1 并未改变 include 等函数的行为逻辑，反而因更严格的类型检查和弃用某些旧特性（如 /e 修饰符），让部分绕过手法失效——但这不等于漏洞消失，只是攻击门槛略升。真正有效的做法是重构逻辑、限制路径来源、关闭危险配置，并辅以运行时校验。
严格禁止用户输入直接拼接路径
这是最根本的防线。任何形如 include($_GET['page'] . '.php') 或 require('pages/' . $_POST['tpl']) 的写法，在 PHP 8.1 下依然可被利用（例如通过 ../etc/passwd%00、php://filter、zip:// 等方式绕过后缀或截断）。
- 将所有可选文件名硬编码为白名单数组，仅允许匹配项进入包含流程
- 使用
basename()剥离路径信息，再结合白名单比对，避免../../穿越 - 禁用字符串拼接路径，改用映射表：例如
$map = ['home' => 'home.tpl.php', 'about' => 'about.tpl.php'];，再根据参数查表
关闭 allow_url_include 并限制流包装器
PHP 8.1 默认仍可能开启 allow_url_fopen=On，而 allow_url_include 在 PHP 5.2+ 默认为 Off，但若被手动开启，RFI 即刻生效。即使关闭 RFI，LFI 仍可通过 php://filter、phar://、zip:// 等协议读取或执行任意文件。
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 在
php.ini中明确设置：allow_url_include = Off - 通过
disable_functions禁用高危包装器（需配合 open_basedir）：disable_functions = "phpinfo,system,exec,passthru,shell_exec,proc_open" - 配置
open_basedir限定脚本只能访问指定目录，使../和绝对路径失效
用 require_once 替代 include + 运行时路径校验
虽然 require_once 和 include_once 在重复加载上更安全，但它们对路径可控性无防护作用。关键在于：先验证路径是否合法，再加载。
- 加载前调用
realpath($file)获取真实路径，再判断是否落在白名单目录内 - 拒绝含
://、..、空字节%00或非字母数字字符的路径（建议用正则预筛） - 优先使用
require_once：失败即终止，避免部分渲染泄露错误上下文，也减少 LFI 差分探测成功率
转向自动加载与依赖注入替代手工包含
PHP 8.1 完全支持 PSR-4 自动加载规范，现代项目应尽量淘汰 include/require 动态加载模板或配置的习惯。
- 用 Composer 自动加载类文件，消除对
include_once('class/User.php')的依赖 - 模板渲染改用 Twig、Blade 等沙箱化引擎，它们不执行 PHP 代码，天然隔离 LFI 风险
- 配置文件统一用
.env+vlucas/phpdotenv加载，而非include('config.php')
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
