网络语言系列&php系列【仅供参考】：PHP如何预防文件包含的代码注入攻击

---

PHP如何预防文件包含的代码注入攻击

文件包含的代码注入攻击（也称为远程文件包含漏洞，RFI，或本地文件包含漏洞，LFI）是一种常见的安全漏洞，攻击者可以通过利用这个漏洞来执行任意代码或读取敏感文件。为了防止这种攻击，你可以采取以下措施：

1. 禁用远程文件包含

在 PHP 中，使用 allow_url_include 配置项来禁用远程文件包含。这个配置项默认是关闭的，你应该确保它在你的 php.ini 文件中是禁用的：

allow_url_include = Off

2. 使用 include_path 而不是绝对路径

确保使用相对路径或者受信任的目录路径，避免直接使用用户输入的路径。可以通过设置 include_path 配置项来限制文件包含的范围：

include_path = ".:/path/to/your/includes"

3. 验证和清理用户输入

在处理用户输入时，应该始终进行验证和清理。对于路径输入，你可以使用白名单方法来确保输入的值是安全的。例如，使用预定义的常量或变量而不是直接使用用户输入：

$allowed_files = ['file1.php', 'file2.php'];  
$user_input = $_GET['file'];  
  
if (in_array($user_input, $allowed_files)) {  
    include $user_input;  
} else {  
    die('Invalid file');  
}

4. 使用 realpath() 和 basename()

通过 realpath() 函数解析绝对路径，并确保文件确实存在于允许的目录中。结合 basename() 函数可以防止目录遍历攻击：

$basedir = '/path/to/allowed/dir/';  
$user_input = basename($_GET['file']); // 使用 basename 去除路径中的任何目录遍历部分  
$filepath = realpath($basedir . $user_input);  
  
if (strpos($filepath, $basedir) === 0) {  
    include $filepath;  
} else {  
    die('Invalid file');  
}

5. 使用适当的文件扩展名检查

确保只包含具有预期扩展名的文件，这可以减少潜在的风险：

$allowed_extensions = ['.php'];  
$user_input = $_GET['file'];  
$pathinfo = pathinfo($user_input);  
  
if (in_array($pathinfo['extension'], $allowed_extensions)) {  
    $filepath = __DIR__ . "/includes/" . basename($user_input);  
    if (file_exists($filepath)) {  
        include $filepath;  
    } else {  
        die('File does not exist');  
    }  
} else {  
    die('Invalid file extension');  
}

6. 使用模板引擎或框架

使用现代的模板引擎或框架（如 Twig、Blade）来管理和渲染视图文件，这些工具通常具有内置的防御机制来防止文件包含攻击。

7. 错误处理和日志记录

确保所有错误和异常都被适当地处理，并记录详细的日志。这可以帮助你识别潜在的安全问题和未经授权的访问尝试。

通过实施这些安全措施，你可以大大减少文件包含攻击的风险，提高你的 PHP 应用程序的安全性。

---

ac-er8888

PHP如何预防文件包含的代码注入攻击