在PHP开发中，动态包含文件是复用代码、实现灵活配置的常见需求，当被包含的文件里存在用户定义的变量时，需要了解PHP的变量作用域规则和包含机制才能正确处理。
PHP动态包含文件的基础方法
PHP提供了include、include_once、require、require_once四个语句用于包含文件，其中动态包含指的是文件路径不是固定的字符串，而是通过变量拼接生成的。以include为例，基础用法如下：
<?php // 定义要包含的文件路径变量 $filePath = 'config/user_config.php'; // 动态包含文件 include $filePath; ?>
include和require的区别在于文件不存在时的处理方式：include会抛出警告但脚本继续执行，require会抛出致命错误并终止脚本。_once后缀的语句会确保同一个文件只被包含一次，避免函数重复定义等问题。
被包含文件中用户定义变量的作用域规则
PHP中，被包含文件中的变量会继承包含语句所在的作用域。如果在全局作用域中使用include，那么被包含文件里的用户定义变量会成为全局变量；如果在函数内部使用include，变量就属于函数作用域。
全局作用域下包含的情况
先看被包含的文件user_vars.php内容：
<?php // 用户定义的变量 $userName = '张三'; $userAge = 25; ?>
在全局作用域中包含该文件：
<?php // 动态包含文件 $targetFile = 'user_vars.php'; include $targetFile; // 可以直接访问被包含文件里的变量 echo '用户名：' . $userName . '<br/>'; echo '年龄：' . $userAge; ?>
上述代码执行后，会正常输出用户名和年龄，说明$userName和$userAge已经成为了全局变量。
函数作用域下包含的情况
如果在函数内部包含文件，变量只会在函数内部生效：
<?php
function loadUserVars() {
$targetFile = 'user_vars.php';
include $targetFile;
// 函数内部可以访问变量
echo '函数内访问用户名：' . $userName . '<br/>';
}
loadUserVars();
// 函数外无法访问，会报错未定义变量
echo $userName;
?>
向被包含文件传递用户定义变量
如果需要在包含文件时传递自定义变量，不需要做特殊处理，只要在include语句之前定义好变量即可，被包含的文件可以直接使用这些变量。
比如我们有一个处理用户数据的文件process_user.php：
<?php // 使用外部传递过来的变量 echo '处理用户：' . $inputUserName . '，年龄：' . $inputAge . '<br/>'; $result = '处理完成'; ?>
包含前定义变量：
<?php // 定义要传递的变量 $inputUserName = '李四'; $inputAge = 30; $processFile = 'process_user.php'; include $processFile; // 被包含文件里定义的$result也可以直接使用 echo $result; ?>
动态包含的安全风险与规避
动态包含如果直接使用用户输入的路径，很容易产生文件包含漏洞，攻击者可能通过构造路径访问敏感文件甚至执行恶意代码。
常见风险场景
比如下面的代码直接使用用户输入的文件名进行包含：
<?php // 危险示例，不要直接使用用户输入 $userInput = $_GET['file']; include $userInput . '.php'; ?>
攻击者可以传入../../etc/passwd之类的路径读取系统文件，或者传入远程恶意文件路径执行代码。
安全规避措施
- 设置
open_basedir限制PHP可访问的目录范围，在php.ini中配置：open_basedir = /var/www/html/ - 对用户输入的文件名做白名单校验，只允许包含指定的几个文件：
<?php
$allowFiles = ['config', 'user_vars', 'process_user'];
$userInput = $_GET['file'] ?? '';
if (in_array($userInput, $allowFiles)) {
include $userInput . '.php';
} else {
echo '不允许包含该文件';
}
?>
常见问题解答
动态包含文件后变量未定义怎么办
首先检查包含的文件路径是否正确，文件是否存在；其次确认变量的定义是在include语句之后还是之前，如果是需要传递的变量，必须在include之前定义；最后检查作用域，是否是在函数内部包含导致变量无法在外部访问。
包含文件时能不能用变量作为文件名后缀
可以，只要拼接后的路径是合法的PHP文件路径即可，比如$file = 'config_' . $env . '.php'; include $file;，其中$env是自定义变量。