PHP eval() 函數深度解析：動態代碼執行、CodeIgniter 實戰應用與安全風險

函數原型

mixed eval(string $phpcode)

• 將字串作為 PHP 代碼執行。
• 字串必須為合法 PHP 代碼，**以分號結尾** (最後一行可省略)。
• 無 return 時回傳 NULL；解析錯誤回傳 false；return 會立即終止執行並回傳值。
• 極高風險：若字串包含用戶輸入，極易導致任意代碼執行 (RCE) 漏洞。

基本範例

";           // 輸出：This is a $string $time morning!
eval("\$str = \"$str\";");    // 雙層轉義：先變數解析，再執行賦值
echo $str;                    // 輸出：This is a beautiful winter morning!

進階用法：動態類別定義 (CodeIgniter 3 核心應用)

CI 根據配置 $active_record 動態決定 CI_DB 繼承關係：

// system/database/DB.php 節錄
if (!isset($active_record) || $active_record === TRUE) {
    require_once BASEPATH . 'database/DB_active_rec.php';
    if (!class_exists('CI_DB')) {
        eval('class CI_DB extends CI_DB_active_record { }');
    }
} else {
    if (!class_exists('CI_DB')) {
        eval('class CI_DB extends CI_DB_driver { }');
    }
}
require_once BASEPATH . "database/drivers/{$driver}/{$driver}_driver.php";

$driver = 'CI_DB_' . $params['dbdriver'] . '_driver';
$DB = new $driver($params);

設計意圖：避免維護兩套近似的資料庫核心類，透過 eval 在執行期「拼裝」最終繼承鏈，實現 Active Record 與純驅動模式的零成本切換。

安全防護準則

常見合法場景與替代

1. 配置檔動態執行：改用 return [ ... ] 純陣列配置 + include。
2. 數學表達式計算：引入 Symfony ExpressionLanguage 或 eval('return ' . $expr . ';') 並嚴格過濾字元集 /^[0-9+\-*/(). ]+$/。
3. 模板引擎編譯：Blade/Twig/Smarty 皆在編譯期生成 PHP 檔案，運行期直接 include，無需 eval。
4. 動態類別/介面：使用匿名類 new class extends Base implements Interface { ... } (PHP 7+) 或工廠模式。

結語

eval() 是 PHP 中「核彈級」函數：CodeIgniter 等成熟框架在極受控的核心代碼中謹慎使用，但業務代碼**嚴禁**使用。現代 PHP 生態提供了充足的替代方案 (匿名類、表達式語言、編譯型模板)，請堅持「不寫 eval、不信任 eval、審計所有 eval」。