如何執行字符串的PHP代碼

如何執行字符串的PHP代碼

最近因項目須要，引出一個議題：如何執行字符串的php代碼(php和html混寫）。
注：傳統狀況下，php代碼存儲在文件中，直接運行文件便可。如下討論的狀況是，若是php代碼是從數據庫中獲取到，那麼要如何運行？

最直觀的方案

• 將字符串代碼寫到臨時文件，而後在項目中include該文件，執行完成再刪除這個臨時文件
• system exec 之類的系統函數
• php函數eval （會不會有安全問題?）

進一步的瞎想

• 把字符串代碼當作參數，傳入到php的cli或者php-fpm中運行
• 從新定義include，讓include能夠直接操做字符串

幾種思路的驗證

• 1：寫臨時文件，而後include文件。豪無疑問，可行。那麼豈不是每次都要寫文件，每一個請求都要寫一次文件。好吧，總有辦法解決，緩存+過時驗證之類的，但總感受這方案不夠專業。。

• 2：system exec之類的函數。稍微思考下就會明白，這類函數是執行系統命令，不是運行php代碼

• 3：eval函數，手冊上寫着:

  Caution ：The eval() language construct is very dangerous because it allows execution of arbitrary PHP code. Its use thus is discouraged. If you have carefully verified that there is no other option than to use this construct, pay special attention not to pass any user provided data into it without properly validating it beforehand.

• 4: php-fpm cli模式是否有辦法解決此類問題
  初步設想是把字符串代碼傳到fpm、cli模式中，等待返回結果。
  但有一個硬傷，須要執行的字符串代碼是有上下文的。好比字符串代碼中使用了一個變量$_GET，若是把這個字符串代碼傳到fpm中，而$_GET變量並無傳過去，那代碼仍是沒辦法正常運行。

• 5：include能不能直接操做字符串
  好吧，前面的4種方法好像都不太滿意，那就深挖一下這個思路吧

** 首先，php中的include是什麼原理？**
並無去看過源碼，猜一下吧，1：讀取文件（fopen,fread之類的）2：解析php語法 3：運行代碼

** 那麼，若是可讓fopen，fread操做字符串，也許這個問題就解決了？**
設想：把字符串轉換爲一個對象或者流，提供fopen,fread接口。首先想到php的SPL中應該有此類接口，查php官方手冊，找到php手冊中關於」支持的協議與封裝協議「章節（同事也提過使用自定義協議的方式），如下爲測試的最簡demo:(封裝自定義協議，使用include直接操做字符串)

<?php
//業務須要：從數據庫中讀出字符串的php代碼
function mysql_get($id) {
return '<?php $i = '.$id.';
echo "contextValue: ".$contextName."\n";
echo "hello $i \n"; 
';
}
//自定義協議
class VariableStream {
private $string;
private $position;
public function stream_open($path, $mode, $options, &$opened_path) {
$url = parse_url($path);
$id = $url["host"];

//根據ID到數據庫中取出php字符串代碼
$this->string = mysql_get($id);
$this->position = 0;
return true;
}
public function stream_read($count) {
$ret = substr($this->string, $this->position, $count);
$this->position += strlen($ret);
return $ret;
}
public function stream_eof() {}
public function stream_stat() {}
}

stream_wrapper_register("var", "VariableStream");

//上下文變量
$contextName = "1000";
//include字符串php代碼。（php代碼是從數據庫中讀出來，這裏傳入的199是數據庫的主鍵ID）
include("var://199");

//修改上下文變量
$contextName = "2000";
//引入另外一個字符串php代碼
include("var://299");

OK，終於找到一種解決思路。再繼續思考，既然咱們但願最終的展現是include這種方式，include的內部是fopen之類的系統函數，那麼fopen除了支持自定義協議以外，還支持哪些呢？
手冊中，fopen的第一個參數$filename，能夠是文件名，也能夠是"scheme://..." 的格式，第二種格式就是上面說的自定義協議方式。再繼續查看相關的東西，發現SplFileInfo、 stream_context_create，不過並不能解決問題。

總結

如今已經有3種方式能夠作成這個事情，那麼哪一種方式更好
1：寫臨時文件，加緩存，直接include
2: eval，官方手冊上說這個函數有安全問題
3：自定義協議，直接include

首先排除方法1，緣由1：緩存文件會增長硬盤I/O。緣由2：不夠專業（這不是小問題）
至於eval提到的安全問題，仔細閱讀手冊上寫的那段話後，發現他只是提示你如今正在運行一段項目代碼之外的代碼，請多當心。這樣看來，方法2並無比方法3更危險。

選取標準，若是項目中只有一個很小的功能須要執行php字符串，那直接使用eval便可
若是項目中有大量的此類需求，封裝一個自定義協議會很方便。項目中的引用會是這樣的: include("protocolName://param");

好吧，以上提供的大部分都是思路，但願思路對你有用