PHTML ファイル

.phtmlファイルは、HTMLマークアップとPHPコードブロックを混在させたサーバーサイドのPHPスクリプトで、機能的には標準的な.phpファイルと同一です。唯一の大きな違いはファイル拡張子です。

ウェブサーバーが.phtmlファイルへのリクエストを受け取ると、そのファイルをPHPインタープリタに渡します。PHPは埋め込まれた <?php ... ?> ブロックを実行し、生成されたHTMLをクライアントのブラウザに出力します。ブラウザがPHPのソースコードを見ることはありません。これが機能するためには、サーバー側で.phtmlをPHPとして扱うように明示的に設定する必要があります。Apacheの場合は（.htaccessまたはhttpd.confで）AddHandler application/x-httpd-php .phtmlディレクティブが必要です。Nginxの場合は、対応するfastcgi_paramのマッピングが必要になります。この設定がない場合、サーバーはPHPのソースコードをそのまま訪問者に配信してしまう可能性があり、情報漏洩のリスクとなります。

.phtml拡張子は、PHPがHTMLテンプレートファイルに直接埋め込まれることが一般的だった1990年代後半のPHP 3および初期のZend Engine時代に誕生しました。Zend Frameworkで継続的に採用されたことで定着し、現在もMagento (現 Adobe Commerce) のビューレイヤーのテンプレートファイルとして活発に使用されています。

セキュリティの観点からは、.phtmlはファイルアップロードのバイパス（回避）の古典的な標的です。.phpのアップロードをブロックするフィルタが、.phtml、.php5、.php3などの類似バリアントを見落としていることが多く、任意のPHP実行を許してしまう可能性があります。

関連するフォーマットには、通常の.phpスクリプトや.phpsファイル（PHPソース表示用）があります。マジックバイトや内部的なバージョニングは存在せず、PHPランタイムのバージョンは完全にサーバーの設定によって決定されます。