PHP注入是一种代码注入攻击，攻击者通过在应用程序的输入字段中插入恶意的PHP代码，以此来影响后端的PHP代码执行。这种攻击方式可以用来绕过登录机制、获取敏感数据、修改数据或执行未授权的操作。
PHP注入的原理主要基于以下几点：
动态代码执行：PHP是一种解释型语言，它允许在运行时动态地执行代码。当攻击者在输入字段中插入恶意PHP代码时，这些代码会在服务器端被执行。
输入验证不足：如果应用程序没有对用户输入进行充分的验证和过滤，攻击者就可以利用这一点来注入恶意代码。例如，攻击者可能会尝试输入类似 <?php echo 'Hello, World!'; ?> 的字符串，如果后端没有正确处理这种情况，这段代码就会被当作有效的PHP代码执行。
文件包含漏洞：PHP支持通过 include 或 require 语句包含外部文件。如果应用程序没有正确地检查用户输入的文件路径，攻击者就可以尝试包含一个恶意的PHP文件，从而执行攻击者的代码。
SQL注入的变种：虽然SQL注入是另一种类型的注入攻击，但PHP注入可以看作是SQL注入的一种变种。在某些情况下，攻击者可能会利用PHP的数据库扩展函数（如 mysql_query）来执行恶意的SQL查询，从而达到攻击的目的。
为了防止PHP注入攻击，开发者应该采取以下措施：
include 或 require 语句来包含不可信的文件路径，或者在使用之前对这些路径进行验证。