如何将 PHP 字符串作为变量求值？

Question

我有一个名为 $data["main_deal"] 的变量，其值为 $xml->deals->deal[0] （作为字符串）。 $xml 是一个 simpleXML 对象，main_deal 的值是访问我想要的数据所需的选择器。

当我尝试 echo "

Main Deal: ".$data["main_deal"]; 时，它输出：Main Deal: $xml->deals->deal[0]

所以我回到了给 $data["main_deal"] 赋值的地方，并添加了 eval()。输出现在是空白的。当我调用 $data["main_deal"] 时，我希望它输出 $xml->deals->deal[0] 的值，而不是 "$ xml->交易->交易[0]”。我该怎么做？

编辑： 这是我用来加载 $data 的代码：

foreach($vars as $var) {
$data[$var] = $devOptions[$var];
}

$devOptions[$var] 包含一个字符串，例如“$xml->deals->deal[0]”。

Answer 1

eval('return '.$data['main_deal'].';');

Answer 2

请注意，使用 eval 非常危险，甚至会导致疯狂。如果有人以某种方式将 $data['main_deal'] 设置为 exec("rm -rf .") 或 mysql_query('drop table users') 会怎样？代码>.为了确保安全，您必须绝对确定该字符串不会受到任何方式的污染。这并非易事，因为大多数过滤器都是为了防止 XSS 注入，而不是此类攻击。

我并不是想成为一个混蛋，我知道你只是想完成工作，但我认为这还不够紧张。

---

我注意到您在评论中提出了这样的问题：

这有意义吗，或者有更好的方法吗？

很有可能有更好的方法来做到这一点，但是如果不了解更多关于 XML 和用户需求的信息，就很难说。您说过示例选择可能是 $xml->deals->deal[0]。用户是否只需要能够选择该交易的索引？例如，您可以让他们从下拉列表中选择要选择的交易吗？然后你可以只存储他们想要的整数，并且访问该数据将更加安全和简单，启动。

如果他们需要更多的控制，也许你可以给他们一些下拉菜单来帮助他们构建所需元素的“路径”。例如：

[ Element 1 (v)]  [ Element 2 (v)] [ Field (v)]
 | Deals       |   | Deal        |  | 0       |
 | Steals      |   | Steal       |  | 1       |
 | Wheels      |   | Wheel       |  |_________|
 |_____________|   |_____________|

然后在您的代码中

 $array_of_valid_element1 = array ('Deals', 'Steals', 'Wheels');

 if(
    in_array($_POST['element1'], $array_of_valid_element1)
    &&
    in_array($_POST['element2'], $array_of_valid_element2)
    &&
    in_array($_POST['element3'], $array_of_valid_element3)
 )
 {
     echo $xml->$_POST['element1']->$_POST['element2'][$_POST['element3'];
 }

您可以看到额外的验证来自哪里！通过检查每个元素，您可以确保用户只做他们明确允许做的事情。

我希望这能给您一些想法或帮助您重新考虑是否采取了最佳方法。如果您想就此获得更多意见，请随时提出另一个问题。这并不简单，但这就是它的乐趣！