如何向call_user_func传入字符串Lambda函数？外部传入场景怎么处理？

我尝试通过字符串形式的Lambda函数调用call_user_func，但触发了致命错误，代码如下：

<?php
$hook = "call_user_func";
$f = 'function ($a, $b) { echo "..."; }';
$a1 = "1";
$a2 = "2";
$res = $hook($f, $a1, $a2);
?>

得到的错误信息：

致命错误：未捕获TypeError: call_user_func(): 参数#1 ($callback)必须是有效的回调，函数"function ($a, $b) { echo "..."; }"未找到或函数名称无效，在...:6
堆栈跟踪：
#0 {main}
抛出在...第6行

[更新]
如果去掉$f的引号，代码可以正常运行，但如果$f是从外部传入（比如通过$_GET获取）的字符串形式Lambda，该怎么处理？

<?php
$hook = "call_user_func";
$f = $_GET['f_ex'];       // 传入值为function ($a, $b) { echo "..."; }
$a1 = "1";
$a2 = "2";
$res = $hook($f, $a1, $a2);
?>

问题原因与解决方案 #

首先明确：call_user_func要求的回调参数必须是可执行的回调类型，比如匿名函数对象、已定义的函数名（字符串）、类方法数组等。你直接传入的字符串只是一段函数代码文本，PHP不会自动解析执行这段文本，所以会提示找不到对应函数。

1. 直接处理字符串形式Lambda的方法

如果必须处理字符串形式的函数代码，你需要先通过eval()将字符串解析为可执行的匿名函数：

<?php
$hook = "call_user_func";
$f_str = 'function ($a, $b) { echo "..."; }';
// 用eval将字符串转为匿名函数
$f = eval("return $f_str;");
$a1 = "1";
$a2 = "2";
$res = $hook($f, $a1, $a2);
?>

2. 外部传入场景的风险与替代方案

但要注意：直接使用eval()处理外部传入的代码（比如$_GET参数）存在极高的安全风险，恶意用户可以传入任意PHP代码执行，导致服务器被控制，这是严重的安全漏洞。

如果你的业务确实需要动态执行外部传入的逻辑，建议采用更安全的方案：

• 预定义允许执行的函数列表，只接受函数名称字符串，不接收完整代码
• 使用闭包序列化/反序列化（但序列化闭包同样有安全风险，需谨慎）
• 采用沙箱环境执行外部代码，比如使用PHP的pcntl扩展创建隔离进程，或使用第三方沙箱库

为什么去掉引号能运行？

当你去掉$f的引号时，$f = function ($a, $b) { echo "..."; }是直接定义了一个匿名函数对象，属于call_user_func接受的有效回调类型，所以可以正常执行。

内容的提问来源于stack exchange，提问作者Green