从文件读取的PHP代码使用eval执行前是否需要进行sanitize处理

方案建议 #

你当前的场景完全没有必要使用eval()，PHP原生的文件引入语法include/require就可以满足你的需求，且安全性、性能都远高于手动读文件后eval()的实现。

当前实现的风险与问题 #

1. 安全风险极高：只要存在任何可被利用的漏洞让攻击者能够向actions目录写入文件，攻击者可以直接植入任意代码拿到服务器权限，没有任何防护空间
2. 性能问题：循环中重复调用glob()扫描目录，每次请求都要多次读取磁盘、拼接字符串再交给eval动态解析，还无法享受PHP的OPcache缓存优化
3. 容错性差：如果actions目录下存在非PHP代码文件、或者文件代码存在语法错误，会直接导致整个程序运行报错

优化后的实现方案 #

直接遍历目录引入合法的PHP文件即可，不需要读内容再eval：

public function loadActions() {
    // 只读取actions目录下的.php后缀文件，避免读到其他无关文件
    $actionFiles = glob("actions/*.php");
    foreach ($actionFiles as $file) {
        // 校验文件合法性，防止路径遍历、非PHP文件被引入
        if (is_file($file) && pathinfo($file, PATHINFO_EXTENSION) === 'php' && strpos(realpath($file), realpath('actions/')) === 0) {
            require_once $file;
        }
    }
}

调用时直接执行方法即可：

$methods->loadActions();

如果你坚持要使用原eval()逻辑的 sanitize 要求 #

如果因为特殊原因必须保留eval的实现，必须做以下校验：

• 严格限制读取的文件后缀只能是你指定的类型，禁止读取任意后缀的文件
• 校验文件真实路径，确保不会跳出actions目录，避免路径遍历漏洞读取到其他位置的恶意代码
• 设置actions目录的权限为只读，禁止web运行用户对该目录有写入权限，避免恶意文件被上传
• 对读取到的文件内容做格式校验，比如必须符合你预设的action代码格式，避免执行未知代码

内容的提问来源于stack exchange，提问作者dislonely