本文介绍一种安全且有效的方案，通过输出缓冲与 `eval`（谨慎使用）结合的方式，将含 php 代码的文件（如 `head.php`）实际执行后获取其 html 输出，再注入到字符串中，从而解决 `file_get_contents()` 仅读取源码而非执行结果的问题。
在 PHP 开发中，有时需要将一个包含可执行 PHP 逻辑的模板文件（例如 head.php）动态“渲染”为最终 HTML 字符串，并将其嵌入到其他字符串或模板中——而非直接用 include 或 require 进行脚本级包含。你遇到的问题正是典型场景：file_get_contents('head.php') 只返回原始 PHP 源码文本（如 <?php include "analytic.php"; ?>），而你需要的是该 PHP 被解释执行后的输出（即 <title>Hello world</title>）。
✅ 正确做法：捕获执行结果，而非读取源码
核心思路是：读取文件 → 在隔离环境中执行其 PHP 代码 → 捕获标准输出 → 返回纯 HTML 字符串。推荐使用输出缓冲（Output Buffering）配合 eval 实现（注意：eval 仅适用于完全可信的本地文件，不可用于用户输入）：
function getEvaluatedContent($filePath) {
if (!is_file($filePath) || !is_readable($filePath)) {
throw new InvalidArgumentException("Cannot read file: $filePath");
}
$content = file_get_contents($filePath);
ob_start();
// 使用 '?>' 关闭 PHP 模式，使 eval 将后续内容视为 PHP 代码执行
eval("?>$content");
$output = ob_get_clean();
return $output;
}
// 使用示例
$headContent = getEvaluatedContent('head.php');
$string = "<head></head>";
$head = str_replace('<head>', '<head>' . $headContent, $string);
echo $head;✅ 输出结果为：
<head><title> Hello world </title></head>
⚠️ 重要注意事项
-
安全性前提：eval() 仅可用于完全可控、无用户输入参与的本地 PHP 文件（如项目内的 head.php）。若文件路径由用户控制或内容可能被篡改，eval 将引发严重远程代码执行（RCE）风险。
立即学习“PHP免费学习笔记（深入）”；
-
替代更安全方案（推荐长期使用）：
若架构允许，应优先采用 模板引擎（如 Twig、Blade） 或 函数封装 + include + 输出缓冲 的方式：function renderPhpFile($filePath) { ob_start(); include $filePath; // 安全：不执行任意代码，仅包含可信文件 return ob_get_clean(); }此方式无需 eval，语义清晰且更易维护和审计。
错误处理：生产环境务必添加 try/catch 和文件存在性校验，避免因文件缺失导致空白输出或致命错误。
✅ 总结
当你必须将 head.php（含 include、变量、逻辑等）的运行时输出注入字符串时，file_get_contents() 是错误工具；而 ob_start() + include 或 ob_start() + eval("?>...") 才是正确路径。本文提供的 getEvaluatedContent() 函数可快速解决问题，但请始终以安全为先——优先选用 include 配合输出缓冲，仅在极特殊场景下审慎使用 eval。
