PHP全局变量防篡改：文件包含漏洞修复模板-php教程-PHP中文网

PHP文件包含漏洞修复核心是切断用户输入直接参与执行的链条，需采用白名单校验、禁用allow_url_include、统一路由映射及系统级文件防篡改。

php全局变量防篡改：文件包含漏洞修复模板

PHP全局变量本身不能被“防篡改”，真正需要防护的是动态文件包含行为中对变量的不当使用。文件包含漏洞（如include($_GET['page'])）之所以危险，是因为攻击者能通过控制$_GET、$_POST等超全局变量，让PHP加载并执行任意本地或远程文件。修复核心不是锁住变量，而是切断“用户输入 → 直接拼接 → 解释执行”的链条。

严格白名单机制：只允许预设值

这是最直接有效的修复方式。不依赖过滤或黑名单，而是将合法的包含路径全部枚举出来，用数组或配置表管理：

把所有可能被include/require的文件名写死在白名单中，例如：$valid_pages = ['home', 'about', 'contact'];
接收参数后仅做键值匹配：$page = $_GET['page'] ?? 'home'; if (!in_array($page, $valid_pages)) { die('Invalid page'); }
拼接路径时强制加扩展名、限定目录前缀，杜绝路径遍历：include __DIR__ . '/pages/' . $page . '.php';

禁用危险配置：关闭远程包含与动态解析

很多文件包含漏洞依赖PHP配置开启危险选项。必须检查并关闭：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

allow_url_include = Off（防止include('http://...')）
allow_url_fopen = Off（虽非直接相关，但可降低远程利用面）
open_basedir设为网站根目录，限制脚本只能访问指定路径
确认disable_functions中包含eval, assert, system, exec, passthru, shell_exec等高危函数

统一入口 + 路由映射：剥离原始变量依赖

避免在任意位置直接读取$_GET做包含。推荐用前端控制器（Front Controller）模式统一处理：

所有请求都经index.php入口，URL形如/index.php?r=article/detail
路由解析器将r参数映射到具体模块和动作，再从预定义的controllers/或views/目录中加载对应文件
加载逻辑不拼接用户输入，而是基于映射关系查表：$file = CONTROLLER_DIR . '/' . $route['controller'] . '.php';