最常用且需谨慎使用的方式是eval()，但存在严重安全风险；更安全的替代方案包括手动实现双栈计算器或使用Symfony ExpressionLanguage等第三方库。
PHP 中直接对字符串表达式求值，最常用且需谨慎使用的方式是 eval()，但它存在严重安全风险；更安全、可控的替代方案是手动实现简易表达式解析器或借助第三方库（如 Symfony ExpressionLanguage 或轻量级解析器）。下面分场景说明实用做法。
✅ 安全前提：避免无过滤的 eval()
仅当字符串来源完全可信（如硬编码、配置项、内部生成）时才考虑 eval()，且必须严格限制作用域：
- 用
return显式返回结果，避免执行副作用代码 - 禁用全局变量访问（通过空作用域或
unset($GLOBALS)） - 示例：
eval('return ' . preg_replace('/[^0-9+\-*/().\s]/', '', $expr) . ';');—— 仅允许基本四则与括号
✅ 轻量级自解析：支持 + - * / ( ) 的双栈计算器
适合整数/浮点数四则运算，不依赖外部库，逻辑清晰可审计：
- 预处理：去除空格，校验字符合法性（数字、小数点、运算符、括号）
- 用两个栈分别存操作数和运算符，按优先级（如
(最高，+/-最低）决定何时计算 - 遇到
)或新运算符优先级 ≤ 栈顶时，弹出并计算一次 - 支持负数（如
"3 + (-5)"）需在词法分析阶段识别一元减号
✅ 生产环境推荐：使用 ExpressionLanguage 组件
Symfony 提供的 ExpressionLanguage 安全、扩展性强，支持变量、函数、逻辑判断：
立即学习“PHP免费学习笔记（深入）”；
- 安装：
composer require symfony/expression-language - 基础用法：
$result = $el->evaluate('2 * (3 + 4)'); - 支持上下文变量：
$el->evaluate('price * quantity', ['price' => 19.99, 'quantity' => 2]) - 可自定义函数（如
round(),strlen()），默认禁用危险函数（exec,system等）
✅ 特殊需求：正则提取 + 数学函数组合
若只需简单算术（如模板中动态计算），可用正则提取数字与运算符再用 bcadd()/bcmul() 等高精度函数组合：
- 匹配模式：
/(-?\d+(?:\.\d+)?)\s*([+\-*/])\s*(-?\d+(?:\.\d+)?)/ - 逐段计算并替换，递归处理括号（用
preg_replace_callback配合栈模拟） - 适合嵌入 HTML 模板或配置文件中的轻量表达式，如
"{{ 100 * (1 - discount) }}"
不复杂但容易忽略的是输入校验与上下文隔离。无论选哪种方式，都要明确表达式的信任边界——用户输入必须拒绝，配置项需白名单过滤，调试时建议先用 token_get_all() 检查语法结构。
