Smarty为何移除PHP函数作为修饰符的支持？如何恢复该功能？

为什么Smarty移除PHP函数作为修饰符的支持？ #

• 安全性考量：允许模板直接调用任意PHP函数存在安全隐患，恶意模板可能利用这个特性调用危险函数（如exec、eval）执行未授权操作。显式注册修饰符能严格控制模板可使用的函数范围，降低注入风险。
• 提升可维护性：隐式依赖PHP函数会让模板与PHP底层实现过度耦合。一旦PHP函数的参数、行为或命名发生变更（比如PHP版本迭代中的函数废弃/调整），模板会直接出现兼容性问题。显式注册的自定义修饰符可以在PHP层做兼容处理，隔离模板与底层变化。
• 规范模板职责：Smarty的设计初衷是让模板专注于展示逻辑，而非直接调用业务或底层PHP函数。显式注册模式能推动开发者将复杂逻辑放在PHP业务层实现，让模板代码更简洁、可读性更强。

能否从Smarty仓库快速恢复相关功能？ #

不能。Smarty 4.3版本已正式将此特性标记为弃用，官方不会再提供内置的恢复方式，后续版本还会彻底移除该功能。官方的核心思路是引导开发者转向显式注册修饰符的规范用法。

必须由用户自行编写吗？ #

不需要逐个手动编写每个函数的修饰符，可以通过批量注册的方式快速复用常用PHP函数作为修饰符，示例代码如下：

// 定义允许作为修饰符的PHP函数列表
$allowedModifiers = ['substr', 'rand', 'mt_rand', 'json_encode'];

// 批量注册为Smarty修饰符
foreach ($allowedModifiers as $funcName) {
    if (function_exists($funcName)) {
        $smarty->registerPlugin('modifier', $funcName, $funcName);
    }
}

这段代码会遍历指定的函数列表，自动将它们注册为Smarty修饰符，和之前的隐式调用效果一致，但更安全、可控。

内容的提问来源于stack exchange，提问作者Wolfgang Blessen