PHP 動態程式碼執行技術：create_function 與現代替代方案深度解析

動態程式碼執行概述

PHP 允許在執行時期動態編譯並執行字串形式的程式碼，這為線上程式碼編輯器、規則引擎、模板系統等場景提供了極大靈活性。但隨著 PHP 版本演進，傳統 create_function() 已被棄用，現代開發需採用更安全、高效的替代方案。

傳統 create_function 實作（已棄用）

基本用法

$code = 'return "Hello World!";';
$func = create_function('', $code);
echo $func(); // 輸出：Hello World!

網頁互動範例

    
    


    

        <?php echo htmlspecialchars($code); ?>

        
    
    

    

安全風險與棄用原因

• 程式碼注入風險：使用者輸入直接執行，極易導致系統被攻破
• 效能問題：每次呼叫都重新編譯，無法被 OPcache 優化
• 除錯困難：動態生成的函數無名稱，堆疊追蹤不可讀
• PHP 7.2 棄用，PHP 8.0 完全移除

現代替代方案比較

1. 匿名函數 + eval()（仍有風險）

$code = 'return "Hello " . $name;';
$func = eval("return function(\$name) { $code };");
echo $func('World'); // 輸出：Hello World

缺點：eval() 同樣存在嚴重安全風險，生產環境極不推薦。

2. 策略模式 + 白名單驗證（推薦）

interface OperationInterface {
    public function execute(array $params);
}

class AddOperation implements OperationInterface {
    public function execute(array $params) {
        return $params['a'] + $params['b'];
    }
}

class MultiplyOperation implements OperationInterface {
    public function execute(array $params) {
        return $params['a'] * $params['b'];
    }
}

$operations = [
    'add' => new AddOperation(),
    'multiply' => new MultiplyOperation(),
];

$action = $_POST['action'] ?? 'add';
$params = $_POST['params'] ?? [];

if (isset($operations[$action])) {
    $result = $operations[$action]->execute($params);
    echo "結果：$result";
}

3. Symfony ExpressionLanguage 元件（企業級）

use Symfony\Component\ExpressionLanguage\ExpressionLanguage;

$language = new ExpressionLanguage();
$expression = 'a + b * 2';
$variables = ['a' => 10, 'b' => 5];
$result = $language->evaluate($expression, $variables); // 20

支援安全的表達式評估，內建沙箱機制，適合規則引擎場景。

4. PHP-Parser 靜態分析（進階）

將使用者程式碼解析為 AST（抽象語法樹），進行靜態分析、白名單過濾後再執行，安全性最高但實作複雜。

沙箱化執行環境構建

若確有動態執行需求，必須構建隔離環境：

1. 容器隔離：Docker 容器限制 CPU、記憶體、網路、檔案系統存取
2. 超時控制：pcntl_alarm() 或 set_time_limit() 防止無限迴圈
3. 函數禁用：disable_functions=exec,shell_exec,system,eval,create_function...
4. 目錄限制：open_basedir 限制檔案存取範圍
5. 用戶權限：以低權限用戶執行 PHP-FPM

最佳實踐總結

核心原則：能不用動態執行就不用。現代 PHP 框架提供豐富的擴展機制（中介層、事件、依賴注入、插件系統），絕大多數動態需求皆可透過靜態架構優雅解決。若確有必要，務必採用沙箱隔離、白名單驗證、最小權限原則，將風險降至最低。