PHP代码执行漏洞防护需分层实施：一、禁用eval()等危险函数；二、限制exec类函数调用能力；三、用结构化解析替代eval；四、隔离eval执行环境；五、启用open_basedir与安全配置。
PHP中代码执行漏洞常源于对eval()与exec类函数的误用，二者虽都可导致远程控制风险，但作用层级与触发机制截然不同。以下是针对这两类函数的安全防护操作步骤：
一、彻底禁用eval()及其等效调用
eval()直接将字符串解析为PHP代码执行，属于语言级代码注入入口，无法通过参数过滤实现本质安全。必须从运行环境层面切断其可用性。
1、编辑php.ini配置文件，定位disable_functions指令行。
2、在原有值末尾添加eval，多个函数间用英文逗号分隔，例如：disable_functions = eval,assert,create_function。
立即学习“PHP免费学习笔记（深入）”；
3、重启Web服务器使配置生效，验证是否禁用：创建测试脚本写入var_dump(function_exists('eval'));，返回false即成功。
二、限制exec类函数的系统命令调用能力
system()、exec()、shell_exec()等函数调用操作系统shell，其风险在于用户可控参数被拼接进命令行，需阻断参数注入路径并收缩执行权限边界。
1、同样在php.ini中修改disable_functions，追加system,exec,shell_exec,passthru,popen,proc_open。
2、确认Web服务器进程运行用户（如www-data）不具备敏感目录写权限，执行ls -ld /var/www/html检查属主与权限位。
3、对确需保留命令调用功能的模块，改用白名单封装函数，仅允许预设命令及参数格式，例如仅允许ping -c 3后接IPv4地址。
三、替换eval()为结构化解析方案
当业务逻辑需要动态计算或配置解析时，应放弃eval()，转向类型安全的数据处理方式，消除PHP代码解释环节。
1、将数学表达式输入交由symfony/expression-language组件解析，该库基于AST而非eval()执行。
2、将JSON格式配置字符串使用json_decode($input, true)解析，禁止启用JSON_OBJECT_AS_ARRAY以外的扩展选项。
3、对必须校验的数值型表达式，先用filter_var($input, FILTER_SANITIZE_NUMBER_FLOAT)清洗，再以floatval()强制转换，杜绝代码片段混入。
四、剥离上下文隔离eval()执行环境
仅限内部调试工具等极少数不可替代场景，必须确保eval()仅能访问无副作用的纯净变量空间，且禁止任何函数调用与语言结构扩展。
1、构造独立作用域数组，仅注入预定义变量，例如$sandbox = ['a' => 1, 'b' => 2];。
2、使用extract($sandbox, EXTR_OVERWRITE | EXTR_REFS)导入变量，随后调用eval()时禁止使用$GLOBALS、$_SERVER等超全局数组。
3、在eval字符串开头强制插入unset($GLOBALS, $_POST, $_GET, $_COOKIE, $_FILES, $_REQUEST, $_SESSION);语句。
五、启用PHP安全模式与open_basedir限制
通过运行时环境约束缩小攻击面，使即使绕过函数禁用的残留调用也无法访问关键路径或执行高危操作。
1、在php.ini中设置open_basedir = /var/www/html:/tmp，禁止跨目录文件操作。
2、关闭危险配置项：allow_url_fopen = Off、allow_url_include = Off，防止远程协议加载。
3、设置safe_mode = Off（PHP 5.4+已移除，若为旧版本则必须启用并配合safe_mode_exec_dir限定命令路径）。
