能否通过PHP文件输入框输入函数名执行另一PHP文件中的函数？

当然可以实现这个需求，但先给你提个醒：直接执行用户输入的函数名存在不小的安全风险，一定要做好防护。下面我给你一步步拆解实现方法和安全要点：

我们可以拆分出两个核心文件来完成这个功能：

1. 一个专门存放函数的文件（比如functions.php）
2. 一个带输入表单的交互文件（比如index.php）

1. 编写函数存放文件 functions.php #

把你需要调用的函数都放在这里，就像你提供的示例那样：

<?php
function bamiiChuckNorris() {
    $arrContextOptions = array(
        "ssl" => array(
            "verify_peer" => false,
            "verify_peer_name" => false,
        ),
    );
    $geocodeUrl = "http://api.icndb.com/jokes/random";
    $response = file_get_contents($geocodeUrl, false, stream_context_create($arrContextOptions));
    $a = json_decode($response, true);
    return $a['value']['joke'];
}

function bamiiTellTime() {
    return "当前时间：" . date("Y-m-d H:i:s");
}
?>

2. 编写交互文件 index.php #

这个文件负责展示输入框、接收用户输入，然后调用对应的函数：

<?php
// 先引入存放函数的文件
require_once 'functions.php';

$result = "";
// 判断是否是表单提交请求
if ($_SERVER["REQUEST_METHOD"] == "POST") {
    // 获取用户输入的函数名，并去除前后空格
    $functionName = trim($_POST['function_name']);
    
    // 先检查函数是否存在，再执行
    if (function_exists($functionName)) {
        // 用call_user_func安全调用函数
        $result = call_user_func($functionName);
    } else {
        $result = "错误：不存在这个函数哦！";
    }
}
?>

<!DOCTYPE html>
<html>
<head>
    <title>调用指定PHP函数</title>
</head>
<body>
    <form method="post" action="<?php echo htmlspecialchars($_SERVER["PHP_SELF"]); ?>">
        输入要执行的函数名：<input type="text" name="function_name" placeholder="比如输入bamiiChuckNorris">
        <button type="submit">执行函数</button>
    </form>
    <div style="margin-top:20px;">
        <?php echo $result; ?>
    </div>
</body>
</html>

上面的基础实现有个大问题：如果用户输入了exec、system这类危险的内置函数名，可能会被用来执行恶意代码。所以一定要做以下防护：

• 白名单机制（最关键）：只允许调用你预先定义好的函数，修改index.php里的判断逻辑：

// 定义允许调用的函数白名单
$allowedFunctions = ['bamiiChuckNorris', 'bamiiTellTime'];

// 先检查是否在白名单内，再检查函数是否存在
if (in_array($functionName, $allowedFunctions) && function_exists($functionName)) {
    $result = call_user_func($functionName);
} else {
    $result = "错误：不允许调用该函数！";
}

• 过滤输入格式：限制用户输入的函数名只能是字母、数字和下划线，避免特殊字符注入：

$functionName = trim($_POST['function_name']);
// 验证函数名格式是否合法
if (!preg_match('/^[a-zA-Z0-9_]+$/', $functionName)) {
    $result = "错误：函数名格式非法！";
}

• 绝对别用eval()：永远不要用eval("$functionName();")这种方式，eval会执行任何传入的代码，风险极高。

内容的提问来源于stack exchange，提问作者Adokiye Iruene