file_exists()是PHP中判断文件或目录是否存在的首选函数，返回布尔值，但不区分类型；需配合is_file()或is_dir()确认具体类型，注意路径、权限、大小写及安全校验。
用 file_exists() 判断文件是否存在最直接
PHP 中检测文件是否存在的首选函数是 file_exists()，它同时支持文件和目录，返回布尔值。注意它不区分“文件”和“目录”，只判断路径是否真实存在且当前 PHP 进程有权限访问。
常见错误现象：明明文件在服务器上，file_exists() 却返回 false——大概率是路径写错（比如相对路径没对准当前工作目录），或 PHP 没有读取该路径的权限（尤其在 open_basedir 限制或 SELinux 环境下）。
- 使用绝对路径更可靠，可用
__DIR__ . '/data/config.php'拼接 - 若只需确认是“普通文件”（排除目录），应配合
is_file() - 该函数会触发一次系统调用，频繁调用可能影响性能，可考虑缓存结果
is_file() 和 is_dir() 要分清用途
is_file() 只在目标是常规文件时返回 true，遇到目录、符号链接（未解析）、不存在路径都返回 false；is_dir() 同理，只认目录。它们比 file_exists() 多一层类型校验。
典型误用场景：用 is_file('/path/to/') 检查目录——结果必为 false，因为末尾斜杠暗示目录，而 is_file() 不接受目录路径。此时应先用 file_exists() 确认存在，再用 is_file() 或 is_dir() 判定类型。
立即学习“PHP免费学习笔记（深入）”；
-
is_file()对软链接默认不追踪目标，加realpath()可绕过（但会增加开销） - Windows 下大小写不敏感，Linux 下严格区分，路径字符串需与实际文件名完全一致
- 若目标被其他进程临时删除或重命名，两次调用间可能产生竞态（如先
file_exists()再fopen()仍可能失败）
检查远程 URL 文件存在？get_headers() 是折中方案
PHP 原生不支持用 file_exists() 检测 HTTP URL（它只处理本地路径或流包装器支持的协议，而 http:// 流默认不支持 stat）。想判断远端资源是否存在，常用 get_headers() 获取响应头：
$headers = @get_headers('https://example.com/file.pdf');
if ($headers && strpos($headers[0], '200') !== false) {
// 文件存在且可访问
}
但要注意：get_headers() 会发起完整 HTTP 请求，超时和网络波动会影响结果；某些服务器屏蔽 HEAD 请求或返回 200 即使文件不存在（配置问题）；禁用 allow_url_fopen 时此方法失效。
- 生产环境建议设超时：
stream_context_set_default(['http' => ['timeout' => 3]]); - 更健壮的做法是用 cURL 并显式发送 HEAD 请求，避免下载整个文件体
- 永远别把远程存在性检查当作业务逻辑前提——应设计成“尝试读取 + 捕获异常”
安全边界：别让用户输入直接进文件检测函数
如果把未经过滤的用户参数（如 $_GET['file']）拼进 file_exists()，极易引发路径遍历漏洞（如传入 ../../etc/passwd）。即使后续用 basename() 截取，也防不住编码绕过（%2e%2e%2f）。
- 白名单校验最稳妥：只允许特定后缀或预定义文件名数组
- 用
realpath()规范路径后，检查是否落在预期根目录内（如strpos(realpath($path), $allowed_root) === 0） - Web 目录外的文件（如配置、日志）不应暴露给任何文件存在性接口
真正麻烦的不是“怎么判断”，而是“判断之后要不要读、能不能读、读了会不会被利用”——检测只是第一步，上下文权限和业务意图才是关键。
