PHP 遵循大多數伺服器系統中關於檔案和目錄權限的安全機制。這就讓管理員可以控制哪些檔案在檔案系統內是可讀的。必須特別注意的是全域的可讀文件，並確保每個有權限的使用者對這些文件的讀取動作都是安全的。
PHP 被設計為以使用者層級來存取檔案系統，所以完全有可能透過編寫一段 PHP 程式碼來讀取系統檔案如 /etc/passwd，更改網路連線以及發送大量列印任務等等。因此必須確保 PHP 程式碼讀取和寫入的是合適的檔案。
請看下面的程式碼，使用者想要刪除自己主目錄中的一個檔案。假設此情形是透過 web 介面來管理檔案系統，因此 Apache 使用者有權刪除使用者目錄下的檔案。
Example #1 不對變數進行安全檢查會導致…
<?php
// 从用户目录中删除指定的文件
$username = $_POST['user_submitted_name'];
$userfile = $_POST['user_submitted_filename'];
$homedir = "/home/$username";
unlink ("$homedir/$userfile");
echo "The file has been deleted!";
?>既然username 和filename 變數可以透過使用者表單來提交，那就可以提交別人的使用者名稱和檔案名，甚至可以刪除本來就不應該讓他們刪除的文件。這種情況下，就要考慮其它方式的認證。想想如果提交的變數是“../etc/”和“passwd”會發生什麼。上面的程式碼就等同於：
Example #2 …檔案系統攻擊
<?php
// 删除硬盘中任何 PHP 有访问权限的文件。如果 PHP 有 root 权限：
$username = $_POST['user_submitted_name']; // "../etc"
$userfile = $_POST['user_submitted_filename']; // "passwd"
$homedir = "/home/$username"; // "/home/../etc"
unlink("$homedir/$userfile"); // "/home/../etc/passwd"
echo "The file has been deleted!";
?>有兩個重要措施來防止此類問題。
只給 PHP 的 web 使用者很有限的權限。
檢查所有提交上來的變數。
下面是改進的腳本：
Example #3 更安全的檔案名稱檢查
<?php
// 删除硬盘中 PHP 有权访问的文件
$username = $_SERVER['REMOTE_USER']; // 使用认证机制
$userfile = basename($_POST['user_submitted_filename']);
$homedir = "/home/$username";
$filepath = "$homedir/$userfile";
if (file_exists($filepath) && unlink($filepath)) {
$logstring = "Deleted $filepath\n";
} else {
$logstring = "Failed to delete $filepath\n";
}
$fp = fopen("/home/logging/filedelete.log", "a");
fwrite ($fp, $logstring);
fclose($fp);
echo htmlentities($logstring, ENT_QUOTES);
?>然而，這樣做仍然是有缺陷的。如果認證系統允許使用者建立自己的登入使用者名，而使用者選擇用「../etc/」作為使用者名，系統又淪陷了。所以，需要加強檢查：
Example #4 更安全的文件名檢查
<?php
$username = $_SERVER['REMOTE_USER']; // 使用认证机制
$userfile = $_POST['user_submitted_filename'];
$homedir = "/home/$username";
$filepath = "$homedir/$userfile";
if (!ctype_alnum($username) || !preg_match('/^(?:[a-z0-9_-]|\.(?!\.))+$/iD', $userfile)) {
die("Bad username/filename");
}
//后略……
?>根據操作系統的不同，存在著各種各樣需要注意的文件，包括聯繫到系統的設備（/dev/ 或COM1） 、設定檔（/ect/ 檔案和.ini檔案）、常用的儲存區域（/home/ 或My Documents）等等。由於此原因，建立一個策略禁止所有權限而只開放明確允許的通常會更容易。
