PHP 動態呼叫與物件導向：變數函數、呼叫器模式與安全防禦全解析

前言：動態呼叫的雙面刃

PHP 支援變數函數 ($func())、變數類別 (new $class())、靜態方法動態呼叫 ($class::$method()) 等特性，極大提升靈活性 (路由分發、插件系統、策略模式)，但若直接暴露用戶輸入 ($_GET['action']) 將導致遠端程式碼執行 (RCE) 風險。本文系統梳理動態呼叫機制、實戰模式與安全加固。

核心機制速查

實戰模式 1：前端控制器 (Router Dispatcher)

<?php
// 安全版：白名單 + 命名空間映射
class Dispatcher {
    private array $routes = [
        'home'      => ['controller' => \App\Controller\HomeController::class, 'method' => 'index'],
        'user.list' => ['controller' => \App\Controller\UserController::class, 'method' => 'list'],
        'user.view' => ['controller' => \App\Controller\UserController::class, 'method' => 'view'],
    ];

    public function dispatch(string $action): void {
        $route = $this->routes[$action] ?? null;
        if (!$route) {
            http_response_code(404);
            echo 'Not Found';
            return;
        }

        $controller = new $route['controller'](); // 變數實例化
        $method = $route['method'];
        if (!method_exists($controller, $method)) {
            http_response_code(500);
            echo 'Internal Error';
            return;
        }

        // 依賴注入容器可在這裡注入 request/response
        $controller->$method(); // 變數方法呼叫
    }
}

// 使用
$action = $_GET['action'] ?? 'home';
(new Dispatcher())->dispatch($action);

實戰模式 2：策略模式 (動態演算法切換)

<?php
interface PaymentStrategy {
    public function pay(float $amount): bool;
}

class AlipayStrategy implements PaymentStrategy { public function pay(float $amount): bool { /* ... */ } }
class WechatStrategy implements PaymentStrategy { public function pay(float $amount): bool { /* ... */ } }
class UnionPayStrategy implements PaymentStrategy { public function pay(float $amount): bool { /* ... */ } }

class PaymentContext {
    private array $strategies = [
        'alipay'  => AlipayStrategy::class,
        'wechat'  => WechatStrategy::class,
        'unionpay'=> UnionPayStrategy::class,
    ];

    public function execute(string $gateway, float $amount): bool {
        $class = $this->strategies[$gateway] ?? null;
        if (!$class) throw new InvalidArgumentException("Unknown gateway: $gateway");
        $strategy = new $class(); // 變數實例化
        return $strategy->pay($amount);
    }
}

實戰模式 3：插件/鉤子系統

<?php
class HookManager {
    private array $hooks = [];

    public function addHook(string $event, callable $callback): void {
        $this->hooks[$event][] = $callback;
    }

    public function fire(string $event, mixed &$data = null): void {
        foreach ($this->hooks[$event] ?? [] as $callback) {
            $callback($data); // 直接呼叫 callable
        }
    }
}

// 註冊
$hooks = new HookManager();
$hooks->addHook('user.register', function(&$user) { $user['welcome_email'] = true; });
$hooks->addHook('user.register', 'App\Services\LogService::logRegistration'); // 靜態方法字串

// 觸發
$user = ['id' => 1, 'name' => 'John'];
$hooks->fire('user.register', $user);

安全防禦：杜絕 RCE 的鐵律

1. 絕不直接執行用戶輸入：$_GET['func']()、eval()、create_function() (已移除) 皆為禁忌。
2. 白名單映射：將用戶輸入映射至內部允許的 callable 陣列 (如上述 Router/Strategy 範例)。
3. 型別檢查：is_callable()、method_exists()、class_exists()、interface_exists()。
4. 命名空間隔離：動態類別名加上固定前綴 \App\Plugin\\{$name}，防止載入任意類別。
5. 停用危險函數：php.ini disable_functions = exec,shell_exec,system,passthru,proc_open,popen,eval,assert,create_function。
6. OpenBasedir 限制：限制腳本可存取目錄。

進階：Closure::fromCallable() 與 Closure::call() (PHP 7.1+)

$method = [new UserService(), 'getProfile'];
$closure = Closure::fromCallable($method); // 建立閉包，綁定 this
$closure = $closure->bindTo(null, 'UserService'); // 可改變綁定範圍
$result = $closure($userId); // 呼叫

效能微調

• 動態呼叫比直接呼叫慢 ~10-20% (解析 callable、檢查存在性)，高頻熱點路徑建議快取 ReflectionMethod 或改用直接呼叫。
• call_user_func_array 因陣列解包額外開銷，參數固定時優先用 $fn(...$args) 或 $obj->$method(...$args)。

總結對照表

完整範例專案 (含單元測試、靜態分析規則) 見 GitHub。