php – 使用eval解析表单输入的方程式的最安全的方法

我想知道在PHP中使用eval()来解析填写表单的用户输入的公式时应该检查哪些类型的东西.我已经看到很多关于eval()的答案,但并非所有人都同意.

这是我收集的内容：

>不要对字符串使用eval(这可能是一个问题,因为它是我需要解析的公式)
>剥离来自表格的输入(我不完全确定我需要剥离的东西)
> Eval可能是也可能不是邪恶的,并且存在安全风险(是否有解析字符串中的等式的替代方法？)

你认为我应该怎么做？

编辑：我尝试了eval方法,虽然它确实有效,但我使用的卫生设施不支持两个以上的操作数.由于我真的不想写自己的(可能不安全的)卫生正则表达式,我只是想找到并使用预先编写的数学课.感谢大家的建议！

如果你必须使用eval,它上面的eval docs 页面有一些代码可以让你过滤数学公式.但正如其他人和PHP文档页面所说,除非没有其他选择,否则使用eval并不是一个好主意.

<?PHP

$test = '2+3*pi';

// Remove whitespaces
$test = preg_replace('/\s+/', '', $test);

$number = '(?:\d+(?:[,.]\d+)?|pi|π)'; // What is a number
$functions = '(?:sinh?|cosh?|tanh?|abs|acosh?|asinh?|atanh?|exp|log10|deg2rad|rad2deg|sqrt|ceil|floor|round)'; // Allowed PHP functions
$operators = '[+\/*\^%-]'; // Allowed math operators
$regexp = '/^(('.$number.'|'.$functions.'\s*\((?1)+\)|\((?1)+\))(?:'.$operators.'(?2))?)+$/'; // Final regexp, heavily using recursive patterns

if (preg_match($regexp, $q))
{
    $test = preg_replace('!pi|π!', 'pi()', $test); // Replace pi with pi function
    eval('$result = '.$test.';');
}
else
{
    $result = false;
}

?>

php – 使用eval解析表单输入的方程式的最安全的方法

相关文章