eval是PHP中用于动态执行字符串形式代码的内置函数，很多开发者在需要灵活处理动态逻辑时会用到它，但如果不了解其特性和风险，很容易引发安全问题。下面我们先来看eval函数的基础用法。
eval函数的基本语法
eval函数的语法非常简单，它接收一个字符串参数，这个字符串会被当作PHP代码执行，执行后的结果会和当前作用域共享变量。基本格式如下：
<?php // 基础用法示例 $code = 'echo "这是动态执行的代码";'; eval($code); // 输出：这是动态执行的代码 // 作用域共享示例 $num = 10; $code2 = '$num = $num * 2;'; eval($code2); echo $num; // 输出：20 ?>
eval函数的常见使用场景
eval函数通常用于以下场景：
- 需要动态解析用户配置的简单逻辑规则，比如后台配置的计算公式
- 临时执行动态生成的代码片段，比如某些模板引擎的简易实现
- 快速测试动态生成的PHP代码逻辑
eval函数带来的安全风险
eval最大的问题就是如果传入的字符串可以被用户控制，就会引发严重的代码注入风险，具体风险包括：
- 代码注入攻击：攻击者可以传入恶意代码，比如删除文件、读取敏感配置、执行系统命令等
- 作用域污染：动态执行的代码会修改当前作用域的变量，可能导致原有逻辑异常
- 调试困难：eval执行的代码不会出现在常规的错误堆栈中，出现问题后很难排查
下面是一个风险示例，假设我们直接把用户输入的内容传给eval：
<?php
// 危险示例，不要在实际项目中使用
$user_input = $_GET['code']; // 假设用户输入：system('rm -rf /');
eval($user_input); // 会直接执行恶意系统命令，造成毁灭性后果
?>eval函数的安全处理方案
如果必须使用eval函数，需要做好以下防护措施：
- 绝对不要直接传入用户输入的内容，所有动态代码必须做严格的白名单校验
- 限制eval执行的作用域，可以在闭包中执行，避免污染全局变量
- 对动态代码的内容做严格过滤，禁止出现system、exec、passthru等危险函数调用
安全的示例写法如下：
<?php
// 安全使用示例
function safe_eval($code) {
// 白名单校验，只允许执行简单的数学运算
if (!preg_match('/^[0-9+\-*\/\(\)\s]+$/', $code)) {
return '非法代码内容';
}
// 在闭包中执行，避免污染外部作用域
$result = (function($code) {
eval('$res = ' . $code . ';');
return $res;
})($code);
return $result;
}
echo safe_eval('1+2*3'); // 输出：7
echo safe_eval('system("ls")'); // 输出：非法代码内容
?>eval函数的替代方案
大部分场景下我们不需要使用eval函数，可以用更安全的方案替代：
| 需求场景 | 替代方案 |
|---|---|
| 动态计算公式 | 使用evalmath等专门的数学表达式解析库，或者自己实现简单的四则运算解析 |
| 动态调用函数 | 使用call_user_func、call_user_func_array或者变量函数，比如$funcName() |
| 动态加载配置逻辑 | 使用JSON、YAML等配置文件，或者把逻辑封装成类方法，通过反射调用 |
总的来说，eval函数虽然灵活，但安全风险极高，实际开发中能不用就不用，如果必须使用，一定要做好严格的校验和隔离，避免引发安全问题。