非法文件包含攻击（LFI，Local File Inclusion）是指攻击者利用web应用程序中的漏洞，通过包含本地文件的方式执行恶意代码，从而获取系统权限或者窃取敏感信息的攻击行为。LFI攻击通常利用web应用程序的一些参数传递机制，例如通过GET或POST请求中的参数传递恶意文件名等，从而导致web应用程序无意中将恶意文件包含进来。
底层原理是：web应用程序通常会将用户提交的数据作为参数传递给后台脚本进行处理，而攻击者可以通过在参数中注入本地文件路径的方式，使web应用程序将本地文件包含进来。攻击者可以通过包含系统敏感文件来获取敏感信息，或者利用漏洞在本地执行任意代码。
为了防止LFI攻击，常见的做法是限制web应用程序的文件访问权限，只允许访问指定目录下的文件，而且必须经过严格的身份验证和授权才能访问敏感文件。另外，web应用程序也需要对用户输入进行有效的验证和过滤，防止恶意参数的注入。
在Yii2.0框架中，可以通过内置的文件访问组件和严格的参数验证机制来防止LFI攻击。
