php - 评估用户代码的安全问题是什么？

Question

我想知道像这样实现 PHP 求值器 有哪些安全问题:

<?php eval($_POST['codeInput']); %>

这是在制作 PHP 沙箱 的上下文中，因此针对 DB 输入 等进行清理并不是一个大问题。

用户破坏了托管文件的服务器。

我看过 Ruby 模拟器，所以我很好奇安全方面涉及什么(至少是模糊的细节)。

---

谢谢大家。我什至不确定接受哪个答案，因为它们都很有用。

Owen's answer总结了我的怀疑(服务器本身将处于危险之中)。

arin's answer给出了潜在问题的一个很好的例子。

Geoff's answer和 randy's answer回应您需要编写自己的评估程序以实现模拟类型功能的普遍观点。

Answer 1

不要那样做。

他们基本上可以访问您在 PHP 中可以执行的任何操作(查看文件系统、获取/设置任何类型的变量、打开与其他机器的连接以插入要运行的代码等...)