本文介绍如何在不重写整个文件的前提下，精准更新 php 配置文件（如 settings.php）中特定键的数组值，避免丢失已有配置，并提供基于 `var_export()` 的安全、可读、可维护的实现方案。
在实际开发中，直接拼接字符串写入 PHP 配置文件（如 $config['key'] = 'value';）虽然简单，但存在明显缺陷：每次调用都会全量覆盖文件，无法保留未修改的原有配置项，也无法安全处理嵌套数组、布尔值、null、特殊字符或已存在的键值更新。更严重的是，手动字符串转义（如 str_replace('\'', ''', $value)）既不完整也不可靠，易引入语法错误或 XSS 风险。
推荐采用「读取 → 修改 → 导出 → 写入」的原子化流程，核心依赖 PHP 内置函数 var_export() —— 它能将任意 PHP 变量（包括多维数组、数字、布尔、null 等）转换为合法、可执行、人类可读的 PHP 代码字符串，且自动处理引号、转义与格式缩进（当第二个参数设为 true 时）。
以下是一个健壮、线程安全的 update_config() 实现：
function update_config($new_values) {
$path = $_SERVER['DOCUMENT_ROOT'] . '/settings.php';
// 1. 安全读取现有配置（若文件存在）
$config = [];
if (file_exists($path)) {
// 使用 include_once + extract 是危险的！应避免执行不可信代码
// 正确做法：仅解析变量定义，不执行
$content = file_get_contents($path);
// 简单提取：匹配 中的 $config = [...] 赋值（生产环境建议用更严谨的解析器）
if (preg_match('/<\?php\s*\$(config)\s*=\s*(\[.*?\]);\s*\?>/s', $content, $matches)) {
// 注意：eval() 在此场景风险极高，不推荐。改用 json 或序列化更安全。
// ✅ 更佳实践：改用 JSON 格式存储配置（见下方说明）
}
}
// ✅ 推荐替代方案：统一使用 JSON 存储（更安全、跨语言、无执行风险）
$json_path = dirname($path) . '/settings.json';
if (file_exists($json_path)) {
$config = json_decode(file_get_contents($json_path), true) ?: [];
}
// 2. 合并新值（支持部分更新，保留旧键）
$config = array_merge($config, $new_values);
// 3. 生成安全、格式化的 PHP 配置代码
$exported = var_export($config, true);
$php_code = "";
// 4. 原子化写入（带文件锁，防并发冲突）
$fp = fopen($json_path . '.tmp', 'wb');
if (!$fp) {
throw new RuntimeException("Cannot open temp config file");
}
if (flock($fp, LOCK_EX)) {
fwrite($fp, $php_code);
fflush($fp);
flock($fp, LOCK_UN);
fclose($fp);
rename($json_path . '.tmp', $path); // 原子替换
} else {
fclose($fp);
unlink($json_path . '.tmp');
throw new RuntimeException("Cannot acquire file lock");
}
}⚠️ 重要注意事项：
立即学习“PHP免费学习笔记（深入）”；
- 永远不要对用户可控内容使用 eval() 或 include() 配置文件 —— 若必须用 PHP 格式，确保文件路径完全受控、内容经严格校验；
- 强烈建议改用 JSON 格式（如 settings.json）：通过 json_encode($config, JSON_PRETTY_PRINT | JSON_UNESCAPED_UNICODE) 生成，再由主程序 json_decode(file_get_contents('settings.json'), true) 加载 —— 零执行风险、天然支持所有基础类型、易于版本控制；
- 若坚持使用 PHP 文件格式，请确保 Web 服务器禁止直接访问该文件（如通过 .htaccess 或 Nginx location ~ \.php$ { deny all; }），防止源码泄露；
- var_export() 输出的数组键名默认为数字或字符串字面量；若需动态键（如变量），需自行拼接，但会牺牲可读性与安全性。
总结：与其修补字符串拼接逻辑，不如拥抱标准化序列化方式。一次重构，换来长期可维护性、安全性与协作友好性。
