file_exists仅检查路径是否存在且有父目录权限，不验证可读性、文件类型或内容有效性；需配合is_readable、is_dir等函数实现精准判断，并避免在循环或Web入口中滥用以防性能与安全风险。
file_exists 判断的是路径，不是文件内容
很多人以为 file_exists 能检查文件是否“可用”或“可读”，其实它只做一件事：确认操作系统层面该路径是否存在（且当前 PHP 进程有权限访问该路径的父目录）。哪怕文件被 chmod 000、内容为空、甚至是个损坏的符号链接，只要路径存在，file_exists 就返回 true。
常见错误现象：
– 检查 config.php 存在，但 include 时提示 “failed to open stream”；
– file_exists 返回 true，但 file_get_contents 报错 “Permission denied”。
- 如果需要确认可读，用
is_readable配合file_exists - 如果路径含变量，务必先用
realpath或dirname(__FILE__) . '/xxx'补全为绝对路径——相对路径在 CLI 和 Web 环境下行为可能不一致 - Windows 下注意大小写不敏感，Linux 下严格区分大小写，
file_exists('Config.php')在 Linux 可能返回false即使config.php存在
file_exists 对目录和符号链接的处理逻辑
file_exists 对目录、普通文件、符号链接一视同仁，只要路径可达就返回 true。但它不告诉你那到底是个啥——这点容易误判。
使用场景：
– 想确认缓存目录是否存在并可写？单靠 file_exists 不够；
– 想跳过软链陷阱？比如部署时用 ln -s 指向另一个位置，而目标路径已删除。
立即学习“PHP免费学习笔记（深入）”；
- 判断是否为目录：用
is_dir，别依赖file_exists的返回值推断 - 判断是否为符号链接：用
is_link，file_exists对失效软链也返回false（因为目标路径不存在） - 想安全地检查“真实存在的可写目录”：顺序应为
file_exists→is_dir→is_writable，三者缺一不可
性能与安全边界：别在循环里高频调用 file_exists
每次调用 file_exists 都触发一次系统 stat() 系统调用，在高并发或大循环中会明显拖慢脚本。更隐蔽的问题是：它可能暴露路径结构，成为目录遍历试探的辅助手段。
性能影响：
– 在 for 循环中检查 1000 个文件是否存在，比一次性 glob() 匹配慢 3–5 倍；
– Apache mod_php 下，stat 缓存效果有限；PHP-FPM 下更明显。
- 批量判断存在性，优先用
glob或scandir+in_array，尤其当文件名有规律时 - 配置类场景（如加载多个可选配置文件），建议把候选路径写死在数组里，用
foreach+file_exists，但控制总数不超过 5 个 - Web 入口层避免用
file_exists($_GET['file'])做路由分发——这是典型的 LFI（本地文件包含）温床
替代方案：什么时候不该用 file_exists
当你的实际需求超出“路径是否存在”这个范围，硬套 file_exists 只会让逻辑越来越绕，还埋下兼容性雷。
典型替代场景：
– 检查远程 URL 是否可访问？用 curl_init + CURLOPT_NOBODY；
– 判断上传临时文件是否成功写入？看 $_FILES['x']['error'] === UPLOAD_ERR_OK，不是看 file_exists($_FILES['x']['tmp_name'])；
– Composer 自动加载类？靠 class_exists 或 interface_exists，它们走的是 opcode 缓存+autoload 机制，和文件系统无关。
- 数据库配置存在性？查
mysqli_connect是否成功，而不是检查/etc/my.cnf - 判断扩展是否启用？用
extension_loaded('openssl')，不是file_exists('/usr/lib/php/.../openssl.so') - PHP 8.0+ 中，对
phar://、zip://等封装协议路径，file_exists行为不稳定，优先用对应协议的专用函数（如Phar::isValidPharFilename）
最常被忽略的一点：file_exists 不受 open_basedir 限制的影响——它只管路径是否存在；但后续的 fopen、include 会受限制。这意味着你可能“存在性检查通过”，却在下一步直接失败。得按真实使用路径统一加白名单，不能只验存在。
