PHP eval() 函數深度解析：用法、風險與最佳替代方案

PHP eval() 函數深度解析：用法、風險與最佳替代方案

eval() 是 PHP 中最具爭議的函數之一 —— 它能將字串當作 PHP 代碼執行，雖然強大，但極易引入安全漏洞與維護噩夢。本文系統梳理其語法、典型場景、風險及替代方案。

基本語法與規則

eval(string $code): mixed

• $code 必須是合法 PHP 代碼，且以分號結尾
• 未使用 return 時回傳 NULL；解析錯誤回傳 false
• 執行時共享當前作用域的變數

經典範例

範例 1：動態變數解析

<?php
$string = 'beautiful';
$time   = 'winter';
$str    = 'This is a $string $time morning!';
echo $str . "<br>";           // 輸出原始字串
eval("\$str = \"$str\";");      // 雙重轉義：先插值再執行
echo $str;                      // This is a beautiful winter morning!
?>

範例 2：動態建立變數（不推薦）

<?php
for ($i = 1; $i <= 10; $i++) {
    eval('$a' . $i . ' = ' . ($i * $i) . ';');
}
for ($i = 1; $i <= 10; $i++) {
    eval('echo $a' . $i . '."<br>";');
}
echo $a1 + $a10; // 101
?>

現代寫法：直接使用陣列 $a[$i] = $i * $i;，更清晰、安全、效能更好。

常見誤區與陷阱

安全風險等級：極高

• 若傳入不可信資料（$_GET/$_POST/資料庫），攻擊者可執行任意系統指令
• 難以靜態分析、除錯困難、OpCache 無法優化
• 多數框架（Laravel/Symfony/ThinkPHP）明確禁止使用

最佳替代方案

1. 策略模式 / 命令模式：將動態邏輯封裝為類，依介面調用
2. 匿名函數 / 閉包：$fn = fn() => $a + $b;
3. 模板引擎：Twig/Blade/Smarty 內建沙箱
4. 表達式引擎：symfony/expression-language、doctrine/orm 的 DQL

不得已必須使用時的防護清單

• 輸入嚴格白名單驗證（正則/枚舉）
• 禁用危險函數：disable_functions=exec,system,shell_exec,passthru,proc_open,popen
• 運行於沙箱容器（Docker/gVisor）並限制權限
• 完整審計日誌與 WAF 防護

結論：除非在極受控的開發工具/建構腳本中，生產環境業務代碼嚴禁使用 eval()。現代 PHP 生態提供了更安全、優雅的替代方案。