正确实现PHP文件读写需兼顾功能与安全：①使用fopen/fgets/fwrite/fclose进行精细控制；②小文件可用file_get_contents/file_put_contents简化操作；③通过chmod设置0600等权限限制访问；④用basename和realpath过滤路径，防止目录遍历；⑤利用flock加锁避免并发写入冲突。
如果您在开发Web应用时需要对服务器上的文件进行读取或写入，可能会遇到权限不足、路径错误或安全漏洞等问题。正确的实现方式不仅能确保功能正常，还能防止恶意攻击。
本文运行环境：Dell XPS 13，Ubuntu 24.04
一、使用基础函数进行文件读写
PHP提供了fopen、fgets、fwrite和fclose等基础函数来操作文件，适用于需要精细控制读写过程的场景。通过这些函数可以逐行读取或分块写入数据，避免内存溢出。
1、调用fopen()函数打开指定路径的文件，模式参数可选"r"（只读）、"w"（写入，覆盖）、"a"（追加）等。
立即学习“PHP免费学习笔记（深入）”；
2、使用fgets()从文件指针中逐行读取内容，配合while循环可完整读取整个文件。
3、若需写入数据，使用fwrite()将字符串写入已打开的文件句柄。
4、完成操作后必须调用fclose()关闭文件指针，释放系统资源。
二、利用file_get_contents与file_put_contents简化操作
对于小型文件的读写，PHP内置的file_get_contents和file_put_contents提供了更简洁的方式，一行代码即可完成操作，适合配置文件或日志记录场景。
1、使用file_get_contents()直接读取整个文件内容并返回字符串。
2、若需写入数据，调用file_put_contents()并传入文件路径和内容，自动处理打开与关闭。
3、如需追加内容而非覆盖，可在第三个参数中传入FILE_APPEND标志。
三、设置文件权限以增强安全性
不当的文件权限可能导致敏感信息泄露或被篡改。应在写入文件后限制其访问权限，仅允许必要用户读写。
1、在写入完成后使用chmod()函数修改文件权限，例如设为0600表示仅所有者可读写。
2、检查目标目录是否位于Web根目录之外，防止通过URL直接访问敏感文件。
3、使用is_writable()验证文件或目录是否具备写权限，避免因权限问题导致操作失败。
四、过滤文件路径防止目录遍历攻击
用户输入的文件路径可能包含"../"等字符，用于尝试访问系统受保护文件。必须对路径进行严格校验以阻止此类攻击。
1、使用basename()提取路径中的文件名部分，剥离任何上级目录信息。
2、结合realpath()将路径转换为绝对路径，并判断其是否位于预设的安全目录内。
3、拒绝包含".."或"/etc"等高风险关键词的路径请求。
五、使用锁定机制避免并发冲突
多个进程同时写入同一文件可能导致数据损坏。通过文件锁可确保同一时间只有一个进程能执行写操作。
1、在调用fopen()获取文件句柄后，使用flock()申请独占锁（LOCK_EX）。
2、执行写入操作期间保持锁定状态，防止其他脚本干扰。
3、写入完成后调用flock()释放锁，并正常关闭文件。
