如何在 PHP 中动态包含并执行含变量的文件内容

本文介绍一种安全且有效的方案，通过输出缓冲与 `eval`（谨慎使用）结合的方式，将含 php 代码的文件（如 `head.php`）实际执行后获取其 html 输出，再注入到字符串中，从而解决 `file_get_contents()` 仅读取源码而非执行结果的问题。

在 PHP 开发中，有时需要将一个包含可执行 PHP 逻辑的模板文件（例如 head.php）动态“渲染”为最终 html 字符串，并将其嵌入到其他字符串或模板中——而非直接用 include 或 require 进行脚本级包含。你遇到的问题正是典型场景：file_get_contents(‘head.php’) 只返回原始 PHP 源码文本（如 ），而你需要的是该 PHP 被解释执行后的输出（即

）。

✅ 正确做法：捕获执行结果，而非读取源码

核心思路是：读取文件 → 在隔离环境中执行其 PHP 代码 → 捕获标准输出 → 返回纯 HTML 字符串。推荐使用输出缓冲（Output Buffering）配合 eval 实现（注意：eval 仅适用于完全可信的本地文件，不可用于用户输入）：

function getEvaluatedContent($filePath) {     if (!is_file($filePath) || !is_readable($filePath)) {         throw new InvalidArgumentException("Cannot read file: $filePath");     }      $content = file_get_contents($filePath);     ob_start();     // 使用 '?>' 关闭 PHP 模式，使 eval 将后续内容视为 PHP 代码执行     eval("?>$content");     $output = ob_get_clean();     return $output; }  // 使用示例 $headContent = getEvaluatedContent('head.php');  $string = ""; $head = str_replace('', '' . $headContent, $string); echo $head;

✅ 输出结果为：

⚠️ 重要注意事项

• 安全性前提：eval() 仅可用于完全可控、无用户输入参与的本地 PHP 文件（如项目内的 head.php）。若文件路径由用户控制或内容可能被篡改，eval 将引发严重远程代码执行（RCE）风险。

  立即学习“PHP免费学习笔记（深入）”；

• 替代更安全方案（推荐长期使用）：
  若架构允许，应优先采用 模板引擎（如 Twig、Blade） 或 函数封装 + include + 输出缓冲 的方式：

  function renderPhpFile($filePath) {     ob_start();     include $filePath; // 安全：不执行任意代码，仅包含可信文件     return ob_get_clean(); }

  此方式无需 eval，语义清晰且更易维护和审计。

• 错误处理：生产环境务必添加 try/catch 和文件存在性校验，避免因文件缺失导致空白输出或致命错误。

✅ 总结

当你必须将 head.php（含 include、变量、逻辑等）的运行时输出注入字符串时，file_get_contents() 是错误工具；而 ob_start() + include 或 ob_start() + eval(“?>…”) 才是正确路径。本文提供的 getEvaluatedContent() 函数可快速解决问题，但请始终以安全为先——优先选用 include 配合输出缓冲，仅在极特殊场景下审慎使用 eval。