如何结合<?php include_once('my_username_here.txt'); ?>与<?php echo htmlspecialchars($_SESSION["username"]); ?>实现动态包含？

你的代码存在PHP语法嵌套错误，同时字符串拼接逻辑有误，导致无法正确解析目标文件名。

错误原因 #

你在PHP代码块内部又嵌套了<?php ?>标签，这是语法违规的；另外.txt的拼接位置错误，正确逻辑应该是在PHP代码内完成变量与字符串的拼接，无需额外开启PHP标签。

正确写法示例 #

<?php
// 确保Session已启动（若未在其他位置启动）
session_start();

// 获取Session中的用户名，先做存在性检查
$username = isset($_SESSION["username"]) ? $_SESSION["username"] : '';
// 关键安全处理：过滤路径字符，防止目录遍历漏洞
$safeUsername = basename($username);
$targetFile = $safeUsername . '.txt';

include_once($targetFile);
?>

核心注意事项 #

• 禁止嵌套PHP标签：在同一个<?php ?>代码块内直接编写逻辑即可，无需重复开启标签。
• 必须做安全过滤：直接使用$_SESSION["username"]会存在严重的文件包含漏洞，攻击者可构造特殊用户名读取服务器敏感文件（如../etc/passwd），用basename()过滤路径字符是最基础的防护手段。
• 变量存在性检查：先判断$_SESSION["username"]是否存在，避免触发未定义变量的警告。

内容的提问来源于stack exchange，提问作者wqyutv