eval()，有什么意义？

Question

关于 eval() 作为函数的官方文档说：

除其他外，这对于将代码存储在数据库文本字段中以供以后执行很有用。

我对此感到非常困惑。 PHP 文档是否建议将 PHP 行存储到数据库中？什么？这不是很不安全吗？

如果我知道数据库中有一个作为 PHP 执行的字符串怎么办？这不是非常危险吗？我只需要一个 Sql 注入来对那个站点做任何我想做的事情，我想做的任何事情。我可以删除整个数据库，我可以从脚本中获取所有内容，我可以做所有事情。

这怎么会有这么大的帮助？

您能否提供一些示例，说明eval() 的用途？ 另外，我可能遗漏了一些东西，为什么我看到了一些类似的代码：

eval("if (is_int($int)) { return false }");

而不仅仅是

if (is_int($int)) { return false }

但是，正如我所说，我可能遗漏了一些东西：什么？

Answer 1

eval() 功能太棒了！人们一直使用它来注入代码并始终获得对服务器的出色访问权限。您会经常看到eval() 的使用，以及在损坏的 WordPress 安装中也会执行的正则表达式函数。

您需要 eval 的原因很少。例如，如果我正在创建一个 PHP 测试站点，人们可以在其中在页面上输入一些代码然后运行它。当然，由于您列出的原因，它需要首先进行消毒。

Answer 2

假设您有一个允许您键入 PHP 代码的 CMS。我可以看到使用 eval 函数来评估 PHP sn-p。出于同样的原因，Javascript 也有 eval。

抛开所有原因，eval 非常不安全。我同意它永远不应该被使用。

Answer 3

是的，这可能非常危险。我见过它使用的一个地方是一个允许非常复杂的搜索屏幕配置的系统，并允许用户保存搜索配置。搜索的详细信息被保存为作为 eval 执行的实际代码。 inputs 被单独存储并被检查（在某种程度上，我不知道细节）以防止 SQL 注入。这是我唯一一次看到这样做，而且可能没有必要（尽管我从未见过足够多的系统来确定）。

eval() 在您不知道在运行时之前需要执行哪些代码时可能很有用（就像我上面给出的示例），但是对于大多数开发人员来说，这些情况并不是每天都会发生的事情。如果您确实遇到了需要eval()的情况，请尝试确保从不直接从用户。如果你能找到一种方法来限制（在某种程度上）将传递给它的代码，那就更好了，但这取决于手头的问题。

Answer 4

能否请您提供一些有关此 eval() 如何有用的示例？

它被模板引擎使用，例如。他们将模板解析和编译为 PHP 代码，并且可以将代码存储到任何位置，或者直接使用eval() 执行它。

除此之外，这是一个危险的功能。

Answer 5

这确实是不安全的，无论如何你都必须清理你的代码。

但它并不打算评估用户引入的表达式或任何其他方式（例如来自 DB）。

当语言不提供元编程时，我发现它很有用。因此，例如，您需要用 50 个字段填充一个 bean，这些字段被称为相同但方法名称略有不同，例如数字（想象它有 field1()、field2()、field3() ......等） , 那么你可以使用 for 中的 eval: 将方法名构造为字符串然后调用它。

通过这种方式，您可以在 5 中转换 100 行重复的代码，如果您想添加有关其工作原理的文档，还可以再多几行。哈哈。这并不是不安全的，因为这里没有其他人接触您的代码。

Answer 6

你可以有类似的东西

$text = 'This is some random number: $number. Hello world!';
...
$number = 15;
...
eval ("\$replacedText = \"$text\";");

在 eval 中，$text 将被替换为“这是一些随机数：$number。Hello world！”，并且 eval 确保 $number 也被替换为 15