使用 eval() 执行代码
为什么危险
eval() 会执行收到的任何 PHP 代码。只要字符串中有一部分来自请求，攻击者就能在你的服务器上运行自己的代码。
$result = eval('return ' . $_POST['formula'] . ';');// Allow only known operations
$ops = [
'add' => fn($a, $b) => $a + $b,
'sub' => fn($a, $b) => $a - $b,
];
$op = $ops[$_POST['op'] ?? ''] ?? null;
$result = $op ? $op((float)$_POST['a'], (float)$_POST['b']) : null;修复方法
切勿将字符串当作代码执行，改用明确逻辑、映射表或安全解析器。
扫描我的代码
扫描我的代码 →
粘贴文件，PHP Safe 会指出所有符合此规则的代码行。