简体中文
简体中文
在PHP开发过程中，highlight_file函数是一个非常方便的工具，它可以将指定的PHP文件以高亮格式输出，方便开发者快速查看代码结构和语法。然而，直接使用highlight_file显示文件内容时，如果没有做好文件路径的安全检查，可能会导致安全隐患，比如路径遍历攻击或暴露敏感文件内容。
本文将结合实际代码示例，介绍如何配合文件路径检查来安全且高效地使用highlight_file函数，确保PHP文件高亮显示的最佳实践。
highlight_file是PHP内置函数，功能是读取指定PHP文件并以带有语法高亮的HTML格式输出。调用格式如下：
highlight_file('文件路径');
示例：
highlight_file('example.php');
该函数默认会直接输出高亮后的代码，如果想要以字符串形式获取高亮代码，可以传入第二个参数true。
如果直接把用户输入的路径传给highlight_file，很容易引发路径遍历攻击，比如用户输入：
../../../../etc/passwd
或者访问服务器上不应该被查看的敏感文件，造成数据泄露风险。因此在调用highlight_file前必须严格过滤和校验文件路径。
下面是一个示例代码，展示了如何配合文件路径的严格检查来安全调用highlight_file。
<?php
// 定义允许显示的文件目录根路径
define('BASE_DIR', __DIR__ . '/php_files/');
// 获取用户请求的文件名
$file = $_GET['file'] ?? '';
// 基本安全检查，避免空文件名或包含非法字符
if (empty($file) || preg_match('/[^a-zA-Z0-9_\-\.]/', $file)) {
die('无效的文件名');
}
// 拼接文件的绝对路径
$filePath = realpath(BASE_DIR . $file);
// 进一步校验路径是否在允许目录下，防止路径穿越
if ($filePath === false || strpos($filePath, realpath(BASE_DIR)) !== 0) {
die('非法文件路径');
}
// 检查文件是否存在且为普通文件
if (!is_file($filePath)) {
die('文件不存在');
}
// 调用highlight_file输出高亮代码
highlight_file($filePath);
?>
限定目录：通过BASE_DIR定义允许显示文件的根目录，避免用户随意访问系统文件。
字符校验：限制文件名只能包含字母、数字、下划线、短横线和点，排除特殊字符。
realpath函数：解析并规范化路径，防止路径穿越攻击。
路径前缀匹配：确认文件真实路径必须以允许目录为前缀，防止绕过限制。
文件存在检查：确保指定文件确实存在且是普通文件。
假设你将允许查看的PHP文件都放在项目的php_files目录中，访问时使用URL：
http://gitbox.net/show_code.php?file=test.php
该请求将安全读取并高亮php_files/test.php文件内容。
使用highlight_file函数配合严格的文件路径检查，能够大幅提升代码浏览功能的安全性和稳定性，避免路径穿越和敏感文件泄漏风险。最佳实践关键在于：
限定可访问的根目录；
校验文件名字符合法性；
使用realpath做路径规范；
验证文件路径必须在指定目录下；
确认文件存在且为普通文件。
这样一套完整的检查流程，既保证了代码的灵活查看，也保障了服务器的安全。
