PHP引入返回数组的配置文件前如何安全评估其内容

首先要明确：使用返回数组的PHP文件作为配置格式，本质是默认信任配置文件的写入权限的方案，绝大多数生产场景下，只要做好权限管控，这个方案本身是安全、高效且灵活的。

核心安全防线（优先落地） #

• 严格控制配置目录的写入权限：仅允许运维人员、项目所有者身份的用户写入，Web服务运行用户、对外暴露的服务进程对配置目录仅保留只读权限，从根源上避免非授权用户插入恶意代码。
• 配置目录不要放到Web可访问的根目录下，避免被用户直接访问到文件内容或者执行入口。

不可完全信任配置写入者时的处理方案 #

方案1：保留PHP配置灵活性，增加语法校验 #

如果需要保留用户在配置里写函数、条件表达式的能力，不要用字符串匹配做内容检测，误杀率高且容易绕过，应该用PHP提供的原生Token解析能力校验文件结构，只允许配置文件存在「返回数组」的顶层逻辑，禁止任何顶层可执行语句（比如循环、echo、函数/类定义、外部请求调用等）。
示例校验代码如下：

function isConfigFileValid(string $filePath): bool
{
    $content = file_get_contents($filePath);
    $tokens = token_get_all($content);
    $validStructure = true;
    $inReturn = false;
    $arrayLevel = 0;
    $startTagFound = false;

    foreach ($tokens as $token) {
        // 跳过空白、注释
        if (is_array($token) && in_array($token[0], [T_WHITESPACE, T_COMMENT, T_DOC_COMMENT])) {
            continue;
        }

        // 开头必须是<?php标记
        if (!$startTagFound) {
            $startTagFound = is_array($token) && $token[0] === T_OPEN_TAG;
            if (!$startTagFound) return false;
            continue;
        }

        // 匹配return关键字
        if (is_array($token) && $token[0] === T_RETURN && !$inReturn && $arrayLevel === 0) {
            $inReturn = true;
            continue;
        }

        // 统计数组嵌套层级
        if ($token === '[' || (is_array($token) && $token[0] === T_ARRAY)) {
            $arrayLevel++;
            continue;
        }
        if ($token === ']') {
            $arrayLevel--;
            continue;
        }

        // 数组返回结束后只能是分号
        if ($inReturn && $arrayLevel === 0 && $token !== ';') {
            $validStructure = false;
            break;
        }
    }

    return $validStructure && $inReturn && $arrayLevel === 0;
}

你可以在include文件之前先调用这个方法做校验，不通过就直接抛出异常跳过加载。
另外可以把include逻辑放到隔离闭包里执行，避免配置文件里的变量污染全局作用域：

$config = (static function () use ($file) {
    return include $file->getRealPath();
})();

方案2：放弃PHP配置格式，使用静态配置格式 #

如果完全不可信任配置写入者，直接替换成JSON、YAML、INI这类纯配置格式，这类格式的解析器只会解析配置内容，不会执行任何代码，彻底杜绝代码注入风险。如果需要支持条件配置等动态能力，可以引入沙箱化的表达式解析组件，仅开放你允许的函数、语法能力，不会执行任意PHP代码。

当前代码的额外优化点 #

你可以给Finder增加depth限制，避免配置目录下的子目录里的PHP文件被意外加载，同时可以加一层realpath校验，避免目录遍历风险。

内容的提问来源于stack exchange，提问作者Jascha030