如何从URL的GET参数安全实例化PHP类？

我看你已经根据@sietse85和@CBroe的建议优化了代码，下面是整理好的代码片段，以及对其中安全细节的分析：

$this->pageVal = preg_replace('/[^A-Za-z]/', '', filter_input(INPUT_GET, 'page')) ? preg_replace('/[^A-Za-z]/', '', filter_input(INPUT_GET, 'page')) : "index";
$file = $this->moduleDir . $this->pageVal . ".php";
if (file_exists($file)) {
    require_once $file;
    $class = new $this->pageVal($this);
} else {
    header($_SERVER["SERVER_PROTOCOL"] . " 404 Not Found");
    // 可补充404页面的渲染逻辑
}

核心安全与健壮性分析 #

• 严格输入过滤：通过filter_input安全获取GET参数，再用preg_replace只保留大小写字母，彻底过滤掉任何非字母的非法字符，避免路径遍历或恶意类名注入风险
• 合理默认值兜底：当page参数为空或被过滤后无有效内容时，自动 fallback 到index，保证程序不会因为空值出现运行异常
• 文件存在校验：引入文件前先检查文件是否存在，防止因无效路径导致的文件包含错误
• 按需实例化类：仅在对应类文件存在时才进行类的实例化，确保类定义已加载，避免"Class not found"的致命错误

内容的提问来源于stack exchange，提问作者user7059778