不能将pdf文件后缀改为.php使其变成可执行php脚本，因pdf是二进制文档格式，php是纯文本脚本，改后缀仅欺骗文件系统，会导致解析错误或安全风险；正确做法是用php动态生成pdf并设置正确响应头。
不能直接把 PDF 文件后缀改成 .php 就让它变成可执行的 PHP 脚本。 这种操作只是欺骗文件系统，不会改变文件内容本质，反而可能引发安全风险或解析失败。
PDF 文件和 PHP 文件本质完全不同
PDF 是二进制格式的文档封装，包含字体、图像、布局等渲染指令；PHP 是纯文本脚本，由 PHP 解释器逐行读取并执行。把 report.pdf 改成 report.php 后，Web 服务器会尝试用 PHP 解释器去“执行”一堆二进制乱码，结果通常是：Parse error: syntax error, unexpected end of file 或直接输出空白/乱码，甚至触发 PHP 致命错误。
为什么有人想这么做？常见误解场景
多数人是想绕过上传限制（比如只允许上传 .php），或误以为“改后缀 = 改类型”。真实需求其实是：
- 在 PDF 中嵌入动态内容（如用户数据）→ 应用
tcpdf、dompdf或mpdf库生成 PDF - 让 PDF 下载链接走 PHP 控制（如权限校验、日志记录）→ 用
readfile()输出 PDF 内容，URL 仍为.php，但响应头设为Content-Type: application/pdf - 上传 PDF 后服务端再处理 → 接收
$_FILES['file']['tmp_name']，用finfo_open(FILEINFO_MIME_TYPE)校验真实 MIME 类型是否为application/pdf，而非依赖后缀
如果硬要“混合”PDF 和 PHP，唯一安全做法
用 PHP 动态生成 PDF，而不是篡改静态文件后缀：
立即学习“PHP免费学习笔记（深入）”；
<?php
header('Content-Type: application/pdf');
header('Content-Disposition: inline; filename="report.pdf"');
// 使用 mPDF 示例
require_once 'vendor/autoload.php';
$mpdf = new \Mpdf\Mpdf();
$mpdf->WriteHTML('<h1>Hello from PHP</h1>');
echo $mpdf->Output('', 'S'); // 输出到字符串再 echo
?>
注意：Output('', 'S') 返回 PDF 二进制流，配合正确 header 才能被浏览器识别为 PDF；若漏掉 Content-Type，浏览器可能当作 HTML 渲染乱码。
真正关键的是内容生成逻辑和 HTTP 响应头，不是文件扩展名。靠改后缀绕过校验，大概率被 finfo、getimagesize 或 Web 服务器模块（如 mod_security）拦截，还可能留下远程代码执行漏洞入口。
