PHP文件包含：跨Web根目录外部文件的安全与动态引用实践

33次阅读

本文探讨了在PHP项目中如何安全且动态地包含位于Web根目录（如public_html）之外的配置文件。通过利用$_SERVER[‘DOCUMENT_ROOT’]超全局变量结合相对路径导航符../，我们可以构建出独立于当前脚本位置的绝对文件路径，从而实现跨目录的可靠文件引用，增强应用程序的安全性与可维护性。

动态文件包含的挑战

在php web开发中，经常需要包含一些公共文件，例如数据库连接配置、常量定义或通用函数库。为了安全起见，尤其是涉及敏感信息（如数据库凭证）的配置文件，通常建议将其放置在web服务器的公开可访问目录（如public_html或www）之外。这样做可以防止用户通过浏览器直接访问这些文件，即使web服务器配置错误或存在解析漏洞，也能提供额外的保护层。

然而，当文件位于Web根目录之外或包含脚本位于不同深度时，传统的相对路径包含方法（如../filename.php或../../filename.php）会变得非常繁琐且易出错。脚本所在的目录深度每改变一次，相对路径就需要相应调整，这极大地降低了代码的可维护性和可移植性。例如：

// 如果当前脚本在 public_html/folder1/script.php // 且要包含的文件在 public_html 的上一级目录 include '../../filename.php';  // 如果当前脚本在 public_html/folder1/folder2/script.php // 相同的包含文件就需要这样写 include '../../../filename.php';

这种依赖于脚本相对位置的路径，在项目结构调整时，往往需要全局搜索和替换，效率低下且容易遗漏。

解决方案：利用$_SERVER[‘DOCUMENT_ROOT’]

PHP提供了一个名为$_SERVER[‘DOCUMENT_ROOT’]的超全局变量，它包含了Web服务器为当前脚本定义的文档根目录的绝对路径。例如，如果你的Web根目录是/var/www/html，那么$_SERVER[‘DOCUMENT_ROOT’]的值就是/var/www/html。

结合这个绝对路径和相对路径导航符../，我们可以构建出一个无论当前脚本位于何处都能准确指向目标文件的绝对路径。

立即学习“PHP免费学习笔记（深入）”；

核心方法

要包含一个位于public_html（即DOCUMENT_ROOT）上一级目录的文件，可以使用以下结构：

include "{$_SERVER['DOCUMENT_ROOT']}/../filename.php";

工作原理分析：

$_SERVER[‘DOCUMENT_ROOT’]：首先获取到Web服务器的文档根目录的绝对路径，例如 /var/www/html。
/../：紧接着，我们使用/../。在文件系统中，..表示当前目录的父目录。因此，$_SERVER[‘DOCUMENT_ROOT’]加上/../，就相当于从文档根目录向上移动一层。例如，/var/www/html/../ 实际上指向了 /var/www/。
filename.php：最后，我们拼接上要包含的文件名。

通过这种方式，无论你的脚本文件是位于public_html/index.php，还是public_html/subfolder/script.php，甚至是public_html/another/deep/folder/processor.php，上述include语句都能正确地找到并包含位于/var/www/filename.php的文件。

XPack

全球首个开源的MCP交易平台

17

查看详情

示例代码

假设你的项目结构如下：

/var/www/ ├── config.php        <-- 目标包含文件 └── html/             <-- Web根目录 (public_html, $_SERVER['DOCUMENT_ROOT'])     ├── index.php     └── admin/         └── dashboard.php

config.php文件内容：

<?php // config.php define('DB_HOST', 'localhost'); define('DB_USER', 'root'); define('DB_PASS', 'secure_password'); // ... 其他配置 ?>

在index.php或admin/dashboard.php中包含config.php：

<?php // index.php 或 admin/dashboard.php // 使用 $_SERVER['DOCUMENT_ROOT'] 动态包含 config.php include "{$_SERVER['DOCUMENT_ROOT']}/../config.php";  // 现在可以使用 config.php 中定义的常量 echo "数据库主机: " . DB_HOST; ?>

另一种实现方式

除了直接拼接/../，你也可以使用dirname()函数来获取父目录的路径：

include dirname($_SERVER["DOCUMENT_ROOT"]) . '/filename.php';

dirname($_SERVER[“DOCUMENT_ROOT”])会返回$_SERVER[“DOCUMENT_ROOT”]的父目录的路径，例如，如果$_SERVER[“DOCUMENT_ROOT”]是/var/www/html，那么dirname()会返回/var/www。然后，再拼接上文件名。这两种方法殊途同归，效果一致。

注意事项与最佳实践

安全性提升： 将敏感配置文件放在Web根目录之外是最佳实践。即使Web服务器配置不当，无法阻止对.php文件的直接访问，这些文件也不会被直接暴露。
使用require_once或include_once： 对于关键的配置文件，建议使用require_once而不是include。require_once确保文件只被包含一次，避免重复定义错误，并且如果文件不存在，它会引发致命错误，阻止脚本继续执行，这对于依赖这些配置的应用程序是更安全的。
```
require_once "{$_SERVER['DOCUMENT_ROOT']}/../config.php";
```
环境差异： $_SERVER[‘DOCUMENT_ROOT’]的值由Web服务器（如Apache、Nginx）配置决定。在不同的服务器环境或开发环境中，其值可能不同，但上述方法仍然具有良好的通用性，因为它依赖的是服务器的配置而非硬编码路径。
路径的清晰性： 确保filename.php是准确的文件名，并且文件确实位于DOCUMENT_ROOT的上一级目录。如果文件在更深的层级，你需要相应地调整../的数量，例如../../filename.php表示向上两级。
替代方案（更高级）： 对于大型或复杂的项目，可以考虑使用更高级的解决方案，如定义一个全局的根目录常量（例如通过入口文件设置），或使用Composer的自动加载功能结合PSR-4标准，或者利用框架提供的配置加载机制。

总结

通过巧妙地结合$_SERVER[‘DOCUMENT_ROOT’]超全局变量和相对路径导航符../，PHP开发者可以构建出强大且灵活的文件包含机制。这种方法不仅解决了传统相对路径在多层级目录结构下维护困难的问题，更重要的是，它提供了一种将敏感配置文件安全地放置在Web根目录之外的有效手段，从而显著提升了Web应用程序的安全性和可维护性。在实际开发中，推荐将此方法作为包含外部配置文件的标准实践。

以上就是PHP文件包含：跨Web根目录外部文件的安全与动态引用实践的详细内容，更多请关注php word html composer apache nginx 编码浏览器 php开发配置文件 php composer nginx html 常量 include 全局变量 var 数据库 apache