评估插件系统

Question

这样做的最佳方式是什么？ 我给了一个模板，里面有一些东西，比如{:HELLO-WORLD:}标签。

我也给喜欢的数组：

Array 
(
[0] => Array 
    (
     [Name] => {:HELLO-WORLD:} 
     [Plugin] => "<?php return 'Hello World'; ?>" 
     [Settings] => 
    ) 

) 

我能做些什么，以确保{:HELLO-WORLD:}得到与Hello World输出更换？

我目前正在尝试：

private function PluginReplacer($arr, $str){ 
     $gsCt = count($arr); 
     $kv = array(); 
     for ($i=0;$i<$gsCt;++$i){ 
      $kv[$arr[$i]['Name']] = $arr[$i]['Plugin']; 
     } 
     return str_replace(array_keys($kv), $this->EvalCode(array_values($kv)), $str); 
    } 

    // Eval Some Code 
    private function EvalCode($var){ 
     require_once('plugins.php'); 
     $pr = new CloudCMSPluginRunner(); 
     $pr->Code = $var; 
     $pr->SitePath = GetSiteAssetsPath($this->SiteID); 
     $pr->RunIt(); 
     echo $pr->Error; 
    } 

<?php 

class CloudCMSPluginRunner { 

public $Code = ''; 
public $Error = ''; 
public $SitePath = ''; 
private $DoNotAllow = array('echo', 'eval', 'phpinfo', '/`/', 'chmod', 'chown', 'umask', 'shell_exec', 
          'exec', 'escapeshellcmd', 'proc_open', 'proc_terminate', 'proc_get_status', 
          'passthru', 'proc_nice', 'system', 'escapeshellarg', 'ob_start', 'ob_end_clean', 
          'ob_get_clean', 'session_start', 'putenv', 'header', 'sleep', 'uwait', 'ini_set', 
          'error_reporting', 'chgrp', 'basename', 'clearstatcache', 'copy', 'delete', 
          'dirname', 'disk_free_space', 'disk_total_space', 'diskfreespace', 'fclose', 
          'feof', 'fflush', 'fgetc', 'fgetcsv', 'fgets', 'fgetss', 'file_exists', 'file_get_contents', 
          'file_put_contents', 'file', 'fileatime', 'filectime', 'filegroup', 'fileinode', 'filemtime', 
          'fileowner', 'fileperms', 'filesize', 'filetype', 'flock', 'fnmatch', 'fopen', 'fpassthru', 
          'fputcsv', 'fputs', 'fread', 'fscanf', 'fseek', 'fstat', 'ftell', 'ftruncate', 'fwrite', 'glob', 
          'is_dir', 'is_executable', 'is_file', 'is_link', 'is_readable', 'is_uploaded_file', 'is_writeable', 
          'is_writable', 'lchgrp', 'lchown', 'link', 'linkinfo', 'lstat', 'mkdir', 'move_uploaded_file', 
          'parse_ini_file', 'parse_ini_string', 'pathinfo', 'pclose', 'popen', 'readfile', 'readlink', 
          'realpath_cache_get', 'realpath_cache_size', 'realpath', 'rename', 'rewind', 'rmdir', 'set_file_buffer', 
          'stat', 'symlink', 'tempnam', 'tmpfile', 'touch', 'unlink', 'chdir', 'chroot', 'closedir', 'dir', 
          'getcwd', 'opendir', 'readdir', 'rewinddir', 'scandir', 'dio_close', 'dio_fcntl', 'dio_open', 'dio_read', 
          'dio_seek', 'dio_stat', 'dio_tcsetattr', 'dio_truncate', 'dio_write', 'finfo_buffer', 'finfo_close', 
          'finfo_file', 'finfo_open', 'finfo_set_flags', 'mime_content_type', 'inotify_add_watch', 'inotify_init', 
          'inotify_queue_len', 'inotify_read', 'inotify_rm_watch', 'setproctitle', 'setthreadtitle', 'xattr_get', 
          'xattr_list', 'xattr_remove', 'xattr_set', 'xattr_supported'); 

public function RunIt(){ 
    $valid = $this->CheckIt(); 
    if($valid){ 
     eval($this->Code); 
    }else{ 
     // code is invalid 
     $this->Error = 'The code in this plugin is invalid.'; 
     return null;  
    } 
} 

private function CheckIt(){ 
    $ret = false; 
    ob_start(); // Catch potential parse error messages 
    $code = eval('if(0){' . "\n" . $this->Code . "\n" . '}'); 
    ob_end_clean(); 
    $ret = ($code !== false); 
    // run a check against the dissallowed 
    $ret = (stripos($this->Code , $this->DoNotAllow) !== false); 
    // make sure any path is there's and there's alone 
    $ret = (stripos($this->Code , $this->SitePath) !== false); 
    return $ret; 
} 

} 

?> 

但没有什么是happenning ......其实页面我试图运行此在空白了（意思是有happenning错误）

Answer 1

你”重新生成代码格式为：

eval("function GetPageWeAreOn(){$p=explode('/',$_SERVER['REQUEST_URI']);return $p[1];}"); 

发生了什么事是，PHP被错误解释变量 - 而不是将它们传递到eval'ed功能，它的插值首先。

我已经逃离他们避免错误：

eval("function GetPageWeAreOn(){\$p=explode('/',\$_SERVER['REQUEST_URI']);return \$p[1];}"); 

就能避免需要把你的字符串逃脱被eval'ed成单引号，太 - 不尝试进行插值变量：

eval('function GetPageWeAreOn(){$p=explode("/",$_SERVER["REQUEST_URI"]);return $p[1];}');