您现在的位置：程式碼之家 >> 編程語言 > >> 網頁程式設計 >> PHP 程式設計 >> PHP 綜合知識

PHP 動態生成函數：eval 實現與安全風險深度分析

編輯：PHP 綜合知識

基本實現

<?php
$a = ['a' => 1, 'b' => 1, 'c' => 1];

// 動態構建函數代碼字符串
$code = 'function checkCondition(): bool {
    global $a;
    return ($a["a"] == 1 && $a["b"] == 1 && $a["c"] == 1);
}';

// 執行定義
eval($code);

// 調用
var_dump(checkCondition()); // true

實際應用場景

規則引擎：用戶在後台配置業務規則（如「金額>100 且會員等級=VIP」），運行時編譯為可執行函數。
模板引擎：將模板編譯為 PHP 函數（如 Twig、Blade 內部原理）。
數學表達式計算器：用戶輸入公式字符串，動態生成計算函數。
代碼生成器：根據 Schema 生成 CRUD 代碼、API 客戶端等。

安全風險：為什麼 eval 是魔鬼

<?php
// 用戶輸入未經過濾直接拼接
$userInput = $_GET['rule']; // 假設傳入 "}; system('rm -rf /'); //"
$code = "function check() { return {$userInput}; }";
eval($code); // 災難發生：任意代碼執行 (RCE)

eval 注入後果：讀取文件、執行系統命令、竊取數據庫、植入 Webshell、橫向移動內網。

安全替代方案

方案一：匿名函數 + 閉包（推薦）

<?php
// 預定義邏輯組件
$conditions = [
    'gt' => fn($val, $threshold) => $val > $threshold,
    'eq' => fn($val, $target) => $val === $target,
    'in' => fn($val, $arr) => in_array($val, $arr, true),
];

// 用戶配置規則（JSON 存儲）
$rule = ['field' => 'amount', 'op' => 'gt', 'value' => 100];

// 運行時組合（無 eval）
$check = function($data) use ($rule, $conditions) {
    $op = $rule['op'];
    return $conditions[$op]($data[$rule['field']] ?? null, $rule['value']);
};

var_dump($check(['amount' => 150])); // true

方案二：表達式語言庫

庫	特點
symfony/expression-language	語法接近 JS/PHP、沙箱隔離、緩存編譯、廣泛用於 Symfony 表單驗證、安全投票
doctrine/lexer	底層詞法分析器、構建自定義 DSL 基礎
nikic/PHP-Parser	PHP 代碼 AST 解析、靜態分析、重構工具基礎

<?php
use Symfony\Component\ExpressionLanguage\ExpressionLanguage;

$lang = new ExpressionLanguage();
$rule = 'user.age >= 18 and user.vip_level == "gold"';
$result = $lang->evaluate($rule, ['user' => ['age' => 20, 'vip_level' => 'gold']]);
var_dump($result); // true

方案三：Lua 沙箱（極高性能隔離）

<?php
$lua = new LuaSandbox();
$lua->registerFunction('check', function($amount) { return $amount > 100; });
$userCode = 'return check(amount)';
$result = $lua->loadString($userCode)->call(['amount' => 150]); // 安全執行

若必須使用 eval 的強制防護清單

輸入白名單：只允許預定義的變量名、運算符、函數名（正則 /^[a-zA-Z0-9_+\-*/().\s]+$/）。
禁用危險函數：disable_functions=exec,shell_exec,system,passthru,proc_open,popen,curl_exec,file_get_contents,fsockopen...
open_basedir 限制：限制文件系統訪問範圍。
運行用戶隔離：PHP-FPM pool 以低權限用戶運行，禁用網絡、限制 CPU/內存。
審計日誌：記錄每次 eval 的代碼、調用者、時間、IP。
代碼簽名：僅執行經過簽名驗證的代碼片段。

性能對比

方案	編譯耗時	執行耗時	安全性	維護性
eval	極低（解析即執行）	原生速度	極危險	差（字符串拼接難調試）
匿名函數組合	無（預定義）	原生速度	安全	優（類型提示、重構友好）
ExpressionLanguage	首次編譯緩存	略慢（解釋執行）	沙箱安全	優（DSL 可讀性強）
LuaSandbox	編譯字節碼	極快（JIT）	完全隔離	中（需學 Lua）