从 PHP 函数中删除 eval [关闭]

Question

我想知道是否有办法从我的代码中删除 eval()。

在此函数中，我通过 POST 加载一些变量，以根据管理员在表单中插入的内容在我的数据库中更新或插入新用户。

public function alterUser()
{
    
    $name = $_POST['name']; //required field 
    $contact = $_POST['contact']; //required field 
    $password = $_POST['password']; //required field 
    
    $string = "DB::table('users')";
    
    if(isset($_POST['id'])){
        $string = $string."-> where ('id', \$_POST['id']) ->update([";
    }else{
        $string = $string."-> insert([";
    }
    
    $string = $string."'name' => \$_POST['name'],";
            
    if (isset($_POST['email'])) 
        $string = $string."'email' => \$_POST['email'],";
    
    $string = $string."'password' => Hash::make(\$password),'contacto' => \$contact,";
    
    if (isset($_POST['nif'])) 
        $string = "$string.'nif' => \$nif,";
    
    $string = $string."]);";

    eval($string);
    return redirect('/user');
}

由于这会打开一些安全漏洞，还有其他替代方法可以使其正常工作吗？

Answer 1

如前所述，这里绝对没有理由使用 eval。你需要做的是建立一个你想要传入的值数组，然后决定它是需要新用户还是更新。

public function alterUser()
{

    $name = $_POST['name']; //required field
    $contact = $_POST['contact']; //required field
    $password = $_POST['password']; //required field

    $values = [
        'name' => $name,
        'password' => Hash::make($password),
        'contacto' => $contact
    ];

    if (isset($_POST['email'])) {
        $values['email'] = $_POST['email'];
    }

    if (isset($_POST['nif'])) {
        $values['nif'] = $_POST['nif'];
    }

    if(!empty($_POST['id'])) {
        DB::table('users')->insert($values);
    } else {
        DB::table('users')->where('id', $_POST['id'])->update($values);
    }
    
    return redirect('/user');
}

Answer 2

您似乎可以大大简化代码，并消除对 eval() 的需求，除非是万不得已，否则您不应该使用它。

您的代码中不需要所有 IF 块，因为如果未设置该值，它也不会添加到 $values 数组中。

只需将您的 $_POST 变量分配给 $values 变量，Laravel 就会为您完成大部分繁重的工作。

public function alterUser()
{

    $values = $_POST;

    //remove _token variable created by Laravel in all POST requests
    unset($values['_token']); 

    //perform any actions needed on values before being send to database
    $values['password'] = Hash::make($values['password']);

    if(!empty($values['id'])) {
        DB::table('users')->insert($values);
    } else {
        DB::table('users')->where('id', $values['id'])->update($values);
    }
    
    return redirect('/user');
}

我在您的代码中看到您将contact 变量重命名为contacto。我建议更改您的表单以匹配此变量名称，但如果这不可能，您仍然可以在设置 $values = $_POST 后重命名它，如下所示：

$values['contacto'] = $values['contact'];
unset($values['contact']);

另外，如果您的表单发送任何您不想发送到数据库的变量，例如“密码验证”字段或类似的东西，那么您可以在设置 $values = $_POST 后取消设置它们，如下所示：

unset($values['VALUE_TO_REMOVE']);

Answer 3

@aynber 的一个非常有力的回答 只是为了补充他的答案，我会将逻辑分解为更小的部分以使其更易于阅读。

public function alterUser()
{
    $values = $this->readPostValues();
    $this->performUpsert($values);

    return redirect('/user');
}


private function performUpsert(array $values): void
{
    if (!empty($_POST['id'])) {
        DB::table('users')->insert($values);

        return;
    }

    DB::table('users')->where('id', $_POST['id'])->update($values);
}

private function readPostValues(): array
{
    $values = [
        'name' => $_POST['name'],
        'password' => $_POST['password'],
        'contacto' => $_POST['contact'],
    ];

    if (isset($_POST['email'])) {
        $values['email'] = $_POST['email'];
    }

    if (isset($_POST['nif'])) {
        $values['nif'] = $_POST['nif'];
    }

    return $values;
}