中文(繁體)
中文(繁體)
在PHP開發過程中， highlight_file函數是一個非常方便的工具，它可以將指定的PHP文件以高亮格式輸出，方便開發者快速查看代碼結構和語法。然而，直接使用highlight_file顯示文件內容時，如果沒有做好文件路徑的安全檢查，可能會導致安全隱患，比如路徑遍歷攻擊或暴露敏感文件內容。
本文將結合實際代碼示例，介紹如何配合文件路徑檢查來安全且高效地使用highlight_file函數，確保PHP文件高亮顯示的最佳實踐。
highlight_file是PHP內置函數，功能是讀取指定PHP文件並以帶有語法高亮的HTML格式輸出。調用格式如下：
highlight_file('文件路徑');
示例：
highlight_file('example.php');
該函數默認會直接輸出高亮後的代碼，如果想要以字符串形式獲取高亮代碼，可以傳入第二個參數true 。
如果直接把用戶輸入的路徑傳給highlight_file ，很容易引發路徑遍歷攻擊，比如用戶輸入：
../../../../etc/passwd
或者訪問服務器上不應該被查看的敏感文件，造成數據洩露風險。因此在調用highlight_file前必須嚴格過濾和校驗文件路徑。
下面是一個示例代碼，展示瞭如何配合文件路徑的嚴格檢查來安全調用highlight_file 。
<?php
// 定義允許顯示的文件目錄根路徑
define('BASE_DIR', __DIR__ . '/php_files/');
// 獲取用戶請求的文件名
$file = $_GET['file'] ?? '';
// 基本安全檢查，避免空文件名或包含非法字符
if (empty($file) || preg_match('/[^a-zA-Z0-9_\-\.]/', $file)) {
die('無效的文件名');
}
// 拼接文件的絕對路徑
$filePath = realpath(BASE_DIR . $file);
// 進一步校驗路徑是否在允許目錄下，防止路徑穿越
if ($filePath === false || strpos($filePath, realpath(BASE_DIR)) !== 0) {
die('非法文件路徑');
}
// 檢查文件是否存在且為普通文件
if (!is_file($filePath)) {
die('文件不存在');
}
// 調用highlight_file輸出高亮代碼
highlight_file($filePath);
?>
限定目錄：通過BASE_DIR定義允許顯示文件的根目錄，避免用戶隨意訪問系統文件。
字符校驗：限製文件名只能包含字母、數字、下劃線、短橫線和點，排除特殊字符。
realpath函數：解析並規範化路徑，防止路徑穿越攻擊。
路徑前綴匹配：確認文件真實路徑必須以允許目錄為前綴，防止繞過限制。
文件存在檢查：確保指定文件確實存在且是普通文件。
假設你將允許查看的PHP文件都放在項目的php_files目錄中，訪問時使用URL：
http://gitbox.net/show_code.php?file=test.php
該請求將安全讀取並高亮php_files/test.php文件內容。
使用highlight_file函數配合嚴格的文件路徑檢查，能夠大幅提升代碼瀏覽功能的安全性和穩定性，避免路徑穿越和敏感文件洩漏風險。最佳實踐關鍵在於：
限定可訪問的根目錄；
校驗文件名字符合法性；
使用realpath做路徑規範；
驗證文件路徑必須在指定目錄下；
確認文件存在且為普通文件。
這樣一套完整的檢查流程，既保證了代碼的靈活查看，也保障了服務器的安全。
