包含不受信任的PHP文件是否存在安全风险？

Question

我正在编写一个需要能够从PHP文件中提取字符串的PHP应用程序。我能想到执行此任务的最简单方法是通过PHP include文件。 （我将上传的文件存储在临时文件夹中，通过include加载它。）

但是，我对包含来自不受信任来源的PHP文件存在严重怀疑，并且可能包含恶意代码。我不确定include是否执行PHP代码，我认为这会产生很大的不同。

以下是用户可以上传的PHP文件的预期格式示例（数组可以是平面或嵌套的，如本例所示）：

return [
    'general' => [
        'dear_user' => 'Dear :user',
        'yours_sincerely' => 'Yours sincerely,',
        'signature_team' => 'The :team team.'
    ]
];

这是一种安全的方法还是我应该找到另一种方法？