PHP 動態生成函數：eval() 實戰與安全風險深度解析

PHP 允許在運行時通過 eval() 執行字串代碼，從而實現「動態生成函數」。這雖然強大，但極度危險——任何用戶可控輸入進入 eval 都可能導致任意代碼執行 (RCE)。本文展示基本用法並重點剖析防禦策略。

基本示例

<?php
$a = ['a' => 1, 'b' => 1, 'c' => 1];

// 字串形式的函數定義
$code = "function check_a() {
    global \$a;
    if (\$a['a'] == 1 && \$a['b'] == 1 && \$a['c'] == 1) {
        return 'OK';
    }
    return 'ERR';
}";

eval($code); // 定義函數 check_a()

echo check_a() === 'OK' ? 'GOOD' : 'OH NO'; // GOOD

高風險場景示例（切勿模仿）

<?php
// 極度危險：直接 eval 用戶輸入
eval($_POST['code']); // 攻擊者傳入 "system('rm -rf /');" 即可毀滅伺服器

安全替代方案

若必須使用 eval 的最小化防禦清單

1. 輸入白名單：只允許預定義的安全模板字串，拼接時用 sprintf 並對變量 escapeshellarg / addcslashes
2. 禁用危險函數：disable_functions=eval,exec,shell_exec,system,passthru,popen,proc_open 在 php.ini（但 eval 是語言結構，無法禁用）
3. 運行沙箱：使用 runkit 或 uopz 限制可見符號表，或在獨立進程/容器中執行並設 ulimit
4. 審計日誌：記錄每次 eval 的代碼、調用堆疊、用戶 IP，便於事後追溯

結論

能不用 eval 就不用。 現代 PHP（7.4+）提供了閉包、箭頭函數、Closure::bind()、ReflectionFunction 等強大的元編程工具，幾乎所有「動態代碼」需求都能在安全的物件模型中優雅解決。若歷史專案已大量使用 eval，請制定重構計劃逐步替換，並在重構完成前部署 WAF/RASP 進行運行時防護。

1. 上一篇文章： PHP declare 與 ticks 指令：低層語句級回調機制詳解
2. 下一篇文章： PHP Ctype 擴展函數完整手冊：高效替代正則的字元分類利器

PHP 相關知識

SourceSafe 管理 PHP 專案文件類型配置補充

Visual SourceSafe (VSS) 預設不識別

使用 XAMPP 搭建本地 PHP 開發環境，實現 iOS 客戶端數據上傳（一）：安裝與配置 XAMPP

前言 在網上尋找了許多 PHP 端接收客戶端發送數據和文件的

WordPress 文章級搜索引擎控制：屏蔽特定文章或僅允許搜索引擎訪問的完整實現

WordPress 文章級搜索引擎控制：屏蔽特定文章或僅允許

10 大免費 PHP 腳本下載網站推薦：PHP Junkyard、Hot Scripts 等

前言 尋找現成 PHP 腳本可加速開發。以下整理 10 個提