如何为PHP插件设置隔离上下文，仅允许访问$input变量？

我需要引入PHP插件，但要求插件仅能修改和访问单个变量$input，禁止访问全局变量$globalVariable以及调用函数内的$type、$file变量。当前的实现存在插件能意外获取到不该有变量的问题，现有资料的变量传递方法会暴露所有变量，无法满足需求，求可行的解决方案（也接受不使用include/require的替代方案）。

当前调用插件的函数：

$globalVariable = 'Hello, World!';

function plugin($type, $file, $input){
    if($type == 'foo'){
          return include('../foo-plugins/' . $file);
    }
    else{
          return include('../bar-plugins/' . $file);
    }
}

插件文件示例：

<?php
    global $globalVariable; // 此处不应生效
    echo $file; // 此处不应生效
    echo $type; // 此处不应生效
    return 'Hello ' . $input; // 此处应正常生效
?>

解决方案 #

方法1：闭包上下文隔离（推荐，可控性强） #

通过读取插件代码，在仅传入$input的闭包内执行，彻底隔离外部变量：

$globalVariable = 'Hello, World!';

function plugin($type, $file, $input) {
    $pluginPath = $type === 'foo' ? '../foo-plugins/' . $file : '../bar-plugins/' . $file;
    
    // 读取插件文件内容
    $pluginCode = file_get_contents($pluginPath);
    if ($pluginCode === false) {
        throw new RuntimeException("无法读取插件文件: {$pluginPath}");
    }
    
    // 创建仅包含$input的闭包，执行插件代码
    $executePlugin = function($input) use ($pluginCode) {
        return eval("?>{$pluginCode}");
    };
    
    return $executePlugin($input);
}

注意：

• 闭包内仅能访问传入的$input，插件无法获取外部的$type、$file或全局变量。
• 使用eval需确保插件来源绝对可信，避免代码注入风险。

方法2：沙盒函数封装（无闭包依赖） #

将插件代码包裹在仅接收$input的沙盒函数中，强制变量隔离：

$globalVariable = 'Hello, World!';

function plugin($type, $file, $input) {
    $pluginPath = $type === 'foo' ? '../foo-plugins/' . $file : '../bar-plugins/' . $file;
    $pluginCode = file_get_contents($pluginPath);
    if ($pluginCode === false) {
        throw new RuntimeException("无法读取插件文件: {$pluginPath}");
    }
    
    // 构造沙盒函数代码
    $sandboxCode = "
        function sandbox_run(\$input) {
            {$pluginCode}
        }
    ";
    
    // 定义并执行沙盒函数
    eval($sandboxCode);
    $result = sandbox_run($input);
    
    // 销毁沙盒函数，避免全局污染
    unset($GLOBALS['sandbox_run']);
    
    return $result;
}

说明：

• 插件代码被限制在sandbox_run函数内，仅能访问函数参数$input，完全隔离外部变量。

方法3：作用域变量清理（轻量方案） #

通过清理当前函数作用域内的变量，仅保留$input，再引入插件：

$globalVariable = 'Hello, World!';

function plugin($type, $file, $input) {
    $pluginPath = $type === 'foo' ? '../foo-plugins/' . $file : '../bar-plugins/' . $file;
    
    // 保存当前所有变量，仅保留$input
    $originalVars = get_defined_vars();
    foreach (array_keys($originalVars) as $varName) {
        if ($varName !== 'input') {
            unset($$varName);
        }
    }
    
    // 引入插件，此时作用域内仅有$input
    $result = include($pluginPath);
    
    // 恢复原变量（可选，根据业务需求决定）
    foreach ($originalVars as $varName => $varVal) {
        $$varName = $varVal;
    }
    
    return $result;
}

说明：

• 该方案无法阻止插件使用global关键字访问全局变量，适合对全局变量访问限制不严格的场景。

内容的提问来源于stack exchange，提问作者Ood