使用PHP魔术常量存在哪些安全风险？

嘿，关于PHP魔术常量的安全特性，我给你理清楚这些细节：

• PHP魔术常量可以帮你获取当前执行的PHP文件路径（__FILE__）、所在目录（__DIR__）、当前函数名称（__FUNCTION__）这类运行时信息，它们的取值是PHP自动生成的，并非直接来自用户输入。
• 虽然不是直接用户可控，但在某些场景下，用户输入可能间接影响这些常量的取值。比如用户通过访问特定的URL路径，会改变__FILE__和__DIR__的返回值，但这种影响是有边界的——远程用户没办法精准控制这些变量的内容。
• 举个实际的例子：就算有人尝试访问类似example.com/<script>window.alert("XSS");</script>的路径，也没法让魔术常量带上这段恶意的XSS代码，因为PHP只会基于实际存在的合法文件路径生成魔术常量的值，无效的请求路径不会篡改这些常量的合法输出。

内容的提问来源于stack exchange，提问作者jamieweb