如何安全地更新 PHP 配置文件中的数组值而不覆盖整个文件

本文介绍如何在不重写整个文件的前提下，精准更新 php 配置文件（如 settings.php）中特定键的数组值，避免丢失已有配置，并提供基于 `var_export()` 的安全、可读、可维护的实现方案。

在实际开发中，直接拼接字符串写入 PHP 配置文件（如 $config['key'] = 'value';）虽然简单，但存在明显缺陷：每次调用都会全量覆盖文件，无法保留未修改的原有配置项，也无法安全处理嵌套数组、布尔值、null、特殊字符或已存在的键值更新。更严重的是，手动字符串转义（如 str_replace('\'', ''', $value)）既不完整也不可靠，易引入语法错误或 XSS 风险。

推荐采用「读取 → 修改 → 导出 → 写入」的原子化流程，核心依赖 PHP 内置函数 var_export() —— 它能将任意 PHP 变量（包括多维数组、数字、布尔、null 等）转换为合法、可执行、人类可读的 PHP 代码字符串，且自动处理引号、转义与格式缩进（当第二个参数设为 true 时）。

以下是一个健壮、线程安全的 update_config() 实现：

function update_config($new_values) {
    $path = $_SERVER['DOCUMENT_ROOT'] . '/settings.php';

    // 1. 安全读取现有配置（若文件存在）
    $config = [];
    if (file_exists($path)) {
        // 使用 include_once + extract 是危险的！应避免执行不可信代码
        // 正确做法：仅解析变量定义，不执行
        $content = file_get_contents($path);
        // 简单提取：匹配  中的 $config = [...] 赋值（生产环境建议用更严谨的解析器）
        if (preg_match('/<\?php\s*\$(config)\s*=\s*(\[.*?\]);\s*\?>/s', $content, $matches)) {
            // 注意：eval() 在此场景风险极高，不推荐。改用 json 或序列化更安全。
            // ✅ 更佳实践：改用 JSON 格式存储配置（见下方说明）
        }
    }

    // ✅ 推荐替代方案：统一使用 JSON 存储（更安全、跨语言、无执行风险）
    $json_path = dirname($path) . '/settings.json';
    if (file_exists($json_path)) {
        $config = json_decode(file_get_contents($json_path), true) ?: [];
    }

    // 2. 合并新值（支持部分更新，保留旧键）
    $config = array_merge($config, $new_values);

    // 3. 生成安全、格式化的 PHP 配置代码
    $exported = var_export($config, true);
    $php_code = "";

    // 4. 原子化写入（带文件锁，防并发冲突）
    $fp = fopen($json_path . '.tmp', 'wb');
    if (!$fp) {
        throw new RuntimeException("Cannot open temp config file");
    }
    if (flock($fp, LOCK_EX)) {
        fwrite($fp, $php_code);
        fflush($fp);
        flock($fp, LOCK_UN);
        fclose($fp);
        rename($json_path . '.tmp', $path); // 原子替换
    } else {
        fclose($fp);
        unlink($json_path . '.tmp');
        throw new RuntimeException("Cannot acquire file lock");
    }
}

⚠️ 重要注意事项：

• 永远不要对用户可控内容使用 eval() 或 include() 配置文件 —— 若必须用 PHP 格式，确保文件路径完全受控、内容经严格校验；
• 强烈建议改用 JSON 格式（如 settings.json）：通过 json_encode($config, JSON_PRETTY_PRINT | JSON_UNESCAPED_UNICODE) 生成，再由主程序 json_decode(file_get_contents('settings.json'), true) 加载 —— 零执行风险、天然支持所有基础类型、易于版本控制；
• 若坚持使用 PHP 文件格式，请确保 Web 服务器禁止直接访问该文件（如通过 .htaccess 或 Nginx location ~ \.php$ { deny all; }），防止源码泄露；
• var_export() 输出的数组键名默认为数字或字符串字面量；若需动态键（如变量），需自行拼接，但会牺牲可读性与安全性。

总结：与其修补字符串拼接逻辑，不如拥抱标准化序列化方式。一次重构，换来长期可维护性、安全性与协作友好性。