安全使用PHP中的eval函数：修改用户输入以避免安全问题

Question

我正在接管一些在PHP中使用eval（）函数的webgame代码。我知道这可能是一个严重的安全问题，所以在决定是否取消这部分代码之前，我希望得到一些帮助来检查代码的参数。目前我已经从游戏中删除了这部分代码，直到我确定它是安全的，但功能的损失是不理想的。我宁愿对此进行安全保护，而不是重新设计整个段以避免使用eval（），假设这样的事情是可能的。下面是防止恶意代码注入的相关代码片段。$value是一个我们知道不包含“；”的用户输入字符串。

1 $value = eregi_replace("[ \t\r]","",$value);
2 $value = addslashes($value);
3 $value = ereg_replace("[A-z0-9_][\(]","-",$value);
4 $value = ereg_replace("[\$]","-",$value);
5 @eval("\$val = $value;");

以下是我到目前为止的理解：

所以：这里留下了什么洞吗？我是否误解了上面的regex？最后，是否有任何方法可以在不排除字符的情况下进行安全验证，输入的字符串最好是一个数学公式，并且允许操作顺序的操作，这在目前是不可能的。

Answer 1

>

评估VM中的代码-请参见runkit_sandbox

或者为你的数学创建一个解析器。我建议你使用内置的标记器。您需要迭代标记并跟踪括号、t_dnumber、t_lnumber、运算符以及t_constant_encapsed_string。别管其他的。然后可以安全地计算结果表达式。

一个快速的谷歌搜索揭示了这个图书馆。它完全符合你的要求...

$tokens = token_get_all("<?php {$input}");
$expr = '';

foreach($tokens as $token){

  if(is_string($token)){

    if(in_array($token, array('(', ')', '+', '-', '/', '*'), true))
      $expr .= $token;

   continue;   
  }

  list($id, $text) = $token;

  if(in_array($id, array(T_DNUMBER, T_LNUMBER)))
    $expr .= $text;
}

$result = eval("<?php {$expr}");

只有当输入是有效的数学表达式时，这才会起作用。否则，您将在eval'd代码中得到一个解析错误，因为空括号之类的东西。如果您也需要处理这个问题，那么在另一个循环中清理输出表达式。这应该照顾到大部分无效部分：

while(strpos($expr, '()') !== false)
  $expr = str_replace('()', '', $expr);

$expr = trim($expr, '+-/*');