PHP 8.0.28 本身无官方确认的文件包含漏洞，所谓“问题”实为业务代码动态包含、框架插件不安全加载或服务器配置不当所致。

PHP 8.0.28 本身**没有官方确认的文件包含漏洞（LFI/RFI）**。截至2026年10月27日，PHP官方安全公告（[security-advisories.php](https://www.php.net/security-advisories/)）和CVE数据库中**未收录 CVE 编号指向 PHP 8.0.28 存在原生文件包含漏洞**。 你遇到的“PHP 8.0.28 文件包含问题”，大概率不是 PHP 解释器层面的漏洞，而是以下三类常见情况之一：

一、业务代码中存在动态文件包含逻辑

开发者使用 include、require、include_once 或 require_once 时，直接拼接用户可控参数（如 $_GET['page']、$_POST['template']），且未做严格白名单校验或路径规范化。

• 危险写法示例：include $_GET['file'] . '.php'; —— 攻击者可传 ?file=../../etc/passwd%00 尝试读取系统文件
• 修复方式：禁用动态拼接；改用固定映射数组或预定义常量，例如：
  

  $pages = ['home' => 'home.php', 'about' => 'about.php'];<br>
    if (isset($_GET['p']) && isset($pages[$_GET['p']])) { include $pages[$_GET['p']]; }

• 必须过滤 ..、/、\、%00 等路径遍历字符，并用 basename() 或 realpath() + 白名单目录比对做二次防护

二、框架或 CMS 插件引入了不安全的加载机制

ThinkPHP、Laravel、WordPress 主题或插件中若存在自定义模板加载、语言包切换、路由解析等逻辑，可能绕过框架默认防护，触发 file_get_contents()、file()、readfile() 等函数读取任意路径。

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• 检查项目中是否使用了非标准的「主题路径配置」「语言文件加载」或「插件钩子回调」，尤其关注含 __DIR__ . '/' . $user_input 的代码段
• 升级所用框架至最新稳定版（如 ThinkPHP 8.0.x 应至少为 8.0.15+，已修复多处路径拼接缺陷）
• 禁用未使用的第三方组件，特别是来源不明的「万能导入」、「一键加载」类插件

三、服务器配置放大风险（非PHP漏洞，但常被误认为PHP问题）

Apache/Nginx 配置不当，导致本应禁止访问的敏感路径（如 /var/www/config/）被直接暴露；或启用 allow_url_include=On 后，攻击者利用 php://filter 或远程 URL 触发 RFI。

• 立即检查 php.ini：
  allow_url_include = Off（必须关闭）
  open_basedir 是否设为合理范围（如 /var/www/:/tmp/）
• Nginx 示例防护：
  location ~ ^/(config|runtime|storage|vendor)/ { return 403; }
  Apache 示例：<directory> Require all denied </directory>
• 确认 Web 目录无 .git、.env、phpinfo.php 等敏感文件残留

不复杂但容易忽略