如何执行字符串的PHP代码

如何执行字符串的PHP代码

最近因项目须要，引出一个议题：如何执行字符串的php代码(php和html混写）。
注：传统状况下，php代码存储在文件中，直接运行文件便可。如下讨论的状况是，若是php代码是从数据库中获取到，那么要如何运行？

最直观的方案

• 将字符串代码写到临时文件，而后在项目中include该文件，执行完成再删除这个临时文件
• system exec 之类的系统函数
• php函数eval （会不会有安全问题?）

进一步的瞎想

• 把字符串代码当作参数，传入到php的cli或者php-fpm中运行
• 从新定义include，让include能够直接操做字符串

几种思路的验证

• 1：写临时文件，而后include文件。豪无疑问，可行。那么岂不是每次都要写文件，每一个请求都要写一次文件。好吧，总有办法解决，缓存+过时验证之类的，但总感受这方案不够专业。。

• 2：system exec之类的函数。稍微思考下就会明白，这类函数是执行系统命令，不是运行php代码

• 3：eval函数，手册上写着:

  Caution ：The eval() language construct is very dangerous because it allows execution of arbitrary PHP code. Its use thus is discouraged. If you have carefully verified that there is no other option than to use this construct, pay special attention not to pass any user provided data into it without properly validating it beforehand.

• 4: php-fpm cli模式是否有办法解决此类问题
  初步设想是把字符串代码传到fpm、cli模式中，等待返回结果。
  但有一个硬伤，须要执行的字符串代码是有上下文的。好比字符串代码中使用了一个变量$_GET，若是把这个字符串代码传到fpm中，而$_GET变量并无传过去，那代码仍是没办法正常运行。

• 5：include能不能直接操做字符串
  好吧，前面的4种方法好像都不太满意，那就深挖一下这个思路吧

** 首先，php中的include是什么原理？**
并无去看过源码，猜一下吧，1：读取文件（fopen,fread之类的）2：解析php语法 3：运行代码

** 那么，若是可让fopen，fread操做字符串，也许这个问题就解决了？**
设想：把字符串转换为一个对象或者流，提供fopen,fread接口。首先想到php的SPL中应该有此类接口，查php官方手册，找到php手册中关于”支持的协议与封装协议“章节（同事也提过使用自定义协议的方式），如下为测试的最简demo:(封装自定义协议，使用include直接操做字符串)

<?php
//业务须要：从数据库中读出字符串的php代码
function mysql_get($id) {
return '<?php $i = '.$id.';
echo "contextValue: ".$contextName."\n";
echo "hello $i \n"; 
';
}
//自定义协议
class VariableStream {
private $string;
private $position;
public function stream_open($path, $mode, $options, &$opened_path) {
$url = parse_url($path);
$id = $url["host"];

//根据ID到数据库中取出php字符串代码
$this->string = mysql_get($id);
$this->position = 0;
return true;
}
public function stream_read($count) {
$ret = substr($this->string, $this->position, $count);
$this->position += strlen($ret);
return $ret;
}
public function stream_eof() {}
public function stream_stat() {}
}

stream_wrapper_register("var", "VariableStream");

//上下文变量
$contextName = "1000";
//include字符串php代码。（php代码是从数据库中读出来，这里传入的199是数据库的主键ID）
include("var://199");

//修改上下文变量
$contextName = "2000";
//引入另外一个字符串php代码
include("var://299");

OK，终于找到一种解决思路。再继续思考，既然咱们但愿最终的展现是include这种方式，include的内部是fopen之类的系统函数，那么fopen除了支持自定义协议以外，还支持哪些呢？
手册中，fopen的第一个参数$filename，能够是文件名，也能够是"scheme://..." 的格式，第二种格式就是上面说的自定义协议方式。再继续查看相关的东西，发现SplFileInfo、 stream_context_create，不过并不能解决问题。

总结

如今已经有3种方式能够作成这个事情，那么哪一种方式更好
1：写临时文件，加缓存，直接include
2: eval，官方手册上说这个函数有安全问题
3：自定义协议，直接include

首先排除方法1，缘由1：缓存文件会增长硬盘I/O。缘由2：不够专业（这不是小问题）
至于eval提到的安全问题，仔细阅读手册上写的那段话后，发现他只是提示你如今正在运行一段项目代码之外的代码，请多当心。这样看来，方法2并无比方法3更危险。

选取标准，若是项目中只有一个很小的功能须要执行php字符串，那直接使用eval便可
若是项目中有大量的此类需求，封装一个自定义协议会很方便。项目中的引用会是这样的: include("protocolName://param");

好吧，以上提供的大部分都是思路，但愿思路对你有用