PHP中require()的安全使用及路径中点号含义解析

点号（.）的含义 #

在require("./folder/file.php")这个语句里，路径开头的.代表当前工作目录：

• 对应操作系统文件路径的规则，./表示从当前脚本执行时的工作目录开始查找目标文件（通常是当前脚本所在目录，命令行执行时则是终端所在目录）。
• 写法上，./folder/file.php和folder/file.php效果基本一致，但./更明确地强调是相对当前目录的路径。

安全性分析 #

这种写法的安全性取决于使用场景：

• 硬编码固定路径（如示例）：风险极低。因为路径完全可控，不会被外部输入篡改，只要服务器文件权限配置合理，不会触发文件包含类漏洞。
• 路径包含用户可控内容：风险极高。如果路径中的部分内容来自用户输入（比如拼接GET/POST参数），攻击者可构造恶意路径，让PHP加载恶意脚本，进而获取服务器权限。

额外建议：

• 确保目标目录（./folder/）的文件权限配置正确，禁止无关用户上传恶意文件。
• 优先使用绝对路径，比如结合__DIR__常量写成require(__DIR__ . "/folder/file.php")，避免因当前工作目录变化导致的文件查找异常，同时提升路径的可靠性。

内容的提问来源于stack exchange，提问作者Michel Galvão