File PHTML

Un file .phtml è uno script PHP lato server che mescola markup HTML con blocchi di codice PHP, funzionalmente identico a un file .php standard. L'unica differenza significativa è l'estensione del file.

Quando un server web riceve una richiesta per un file .phtml, passa il file all'interprete PHP. PHP esegue i blocchi <?php ... ?> incorporati ed emette l'HTML risultante al browser del client - il browser non vede mai il sorgente PHP. Affinché ciò funzioni, il server deve essere esplicitamente configurato per trattare .phtml come PHP. In Apache ciò richiede una direttiva AddHandler application/x-httpd-php .phtml (in .htaccess o httpd.conf); in Nginx è necessaria una mappatura fastcgi_param corrispondente. Senza tale configurazione, il server potrebbe consegnare il sorgente PHP grezzo ai visitatori, con un rischio di divulgazione di informazioni.

L'estensione .phtml ha avuto origine alla fine degli anni '90 durante l'era di PHP 3 / primo Zend Engine, quando PHP veniva comunemente incorporato direttamente nei file template HTML. Ha ottenuto un'adozione duratura nello Zend Framework e rimane attivamente utilizzato in Magento (ora Adobe Commerce) per i suoi file template del livello di visualizzazione.

Dal punto di vista della sicurezza, .phtml è un classico bersaglio per l'aggiramento del caricamento dei file (file-upload bypass): i filtri che bloccano i caricamenti di .php spesso trascurano .phtml, .php5, .php3 e varianti simili, consentendo l'esecuzione di codice PHP arbitrario.

I formati correlati includono script .php semplici e file .phps (visualizzazione sorgente PHP). Non esistono magic bytes né versionamento interno; la versione del runtime PHP è determinata interamente dalla configurazione del server.