PHP eval() 函數深度解析：動態代碼執行的威力與致命風險

eval()：PHP 中最危險也最強大的語言結構

eval() 將字串作為 PHP 代碼執行，屬於語言結構而非函數。它賦予了極大的動態性，卻也是安全漏洞的溫床。

基本語法與規則

void eval ( string $code_str )

• $code_str 必須是**合法的 PHP 代碼**，以分號結尾。
• 執行於**當前作用域**，可存取/修改區域變量。
• 字串內的變量會被**解析替換**（雙引號/Heredoc），單引號則不解析。

經典範例：變量插值與動態賦值

<?php
$string = '杯子';
$name   = '咖啡';
$str    = '這個 $string 中裝有 $name.
';

echo $str; // 輸出：這個 $string 中裝有 $name.

eval("\$str = \"$str\";"); // 雙引號：變量先被解析
echo $str; // 輸出：這個 杯子 中裝有 咖啡.

/* 
   解析過程：
   1. 雙引號字串 "\$str = \"$str\";" 先解析變量：
      $str 變為 "這個 杯子 中裝有 咖啡.
"
   2. eval 實際執行的代碼：
      $str = "這個 杯子 中裝有 咖啡.
";
*/
?>

關鍵技巧：單引號避免變量預解析

<?php
// 錯誤：雙引號導致 $a 被預解析為空/舊值，形成常量賦值錯誤
eval("$a = 55;"); // Parse error

// 正確：單引號保護變量名，eval 時再解析
eval('$a = 55;'); 
echo $a; // 55

// 動態構建代碼
$code = 'print("Hello $name\n");';
$name = 'World';
eval($code); // 輸出：Hello World
?>

eval() 的兩層含義

1. 組合命令：將字串拼接成完整 PHP 代碼。
2. 執行命令：立即在當前作用域執行組合後的代碼。

<?php
$str = "hello world";
$code = "print(\"$str\n\");"; // 組合：print("hello world\n");
echo $code;                  // 僅輸出代碼字串
eval($code);                 // 執行：輸出 hello world
?>

致命安全風險：後門與注入

<?php
// 極度危險！絕對禁止在生產環境出現
eval($_POST['cmd']); // 攻擊者可執行任意代碼：system('rm -rf /'); phpinfo(); 等

// 真實案例：某 CMS 插件
eval("?>$userInput"); // 若 $userInput = '; system("id"); //' 即可注入
?>

安全防禦鐵律

合法（較安全）使用場景

• 模板引擎編譯：將模板編譯為 PHP 代碼快取（如 Twig、Blade、Smarty 編譯輸出），僅在部署/快取建立階段執行 eval，運行期不執行。
• 數學表達式計算器：嚴格白名單（僅允許數字、運算子、括號、預定義函數），經過語法分析器驗證後再 eval。
• 動態代碼生成框架：如 Laravel 路由編譯、Doctrine Proxy 生成，代碼由框架內部產生，非用戶輸入。

現代替代方案

<?php
// 1. 匿名函數/閉包（替代動態邏輯）
$operations = [
    'sum' => fn($a, $b) => $a + $b,
    'mul' => fn($a, $b) => $a * $b,
];
$result = $operations[$op]($x, $y);

// 2. 策略模式/呼叫介面
interface Operation { public function execute($a, $b); }
class Sum implements Operation { public function execute($a, $b) { return $a + $b; } }
$op = new $className(); // 白名單驗證 $className
$result = $op->execute($x, $y);

// 3. 表達式語言庫（安全計算表達式）
// composer require symfony/expression-language
use Symfony\Component\ExpressionLanguage\ExpressionLanguage;
$lang = new ExpressionLanguage();
$result = $lang->evaluate('a + b * 2', ['a' => 1, 'b' => 2]); // 5
?>

總結

eval() 是雙刃劍：賦予 PHP 極致動態性，卻打破了靜態分析、Opcode 快取、作用域隔離等現代工程保障。現代 PHP 開發應堅決避免 eval()，改用閉包、策略模式、表達式語言、編譯時代碼生成等安全替代方案。若維護舊代碼必須面對 eval，請嚴格限制輸入來源、實施白名單、隔離執行環境、完善審計日誌。