PHP灵活查询过滤实现方法解析

本文深入探讨了PHP项目中实现安全、灵活查询过滤的实践方案，摒弃高危的eval()函数，转而采用轻量级解释器模式构建可控的动态规则引擎——通过手写递归下降解析器将用户输入的类似“age > 18 && city == 'beijing'”的表达式编译为AST节点树，配合严格隔离的只读上下文变量绑定与预校验机制，在杜绝代码注入、保障执行可追溯的同时，兼顾性能（如AST缓存）与可观测性（分层错误提示），真正实现业务规则动态化与系统安全性的双赢。

为什么不能直接用 eval() 做动态过滤

因为不安全、不可控、难调试：eval() 会执行恶意代码，PHP 7.2+ 在部分环境禁用，无法拦截计算过程、加日志或校验变量；语法与逻辑错误难以区分，且每次编译 AST 性能差。用户输入的规则字符串一旦含恶意代码（比如 system('rm -rf /')），eval() 会直接执行；更关键的是，你没法拦截中间计算过程、加日志、做变量白名单校验。

如何用解释器模式解析类似 "age > 18 && city == 'beijing' || score >= 90" 的规则

核心是手写一个轻量状态机 + 递归下降解析器，不依赖 Antlr 等重型工具。关键步骤包括：

• 先用正则或字符串切分把原始表达式转成 token 列表，例如 ['age', '>', '18', '&&', 'city', '==', "'beijing'", '||', 'score', '>=', '90']
• 实现 parseExpression()：遇到 || 拆左右，优先级最低；再进 parseTerm() 处理 &&；最后进 parseFactor() 处理比较运算符（==、>= 等）和字面量
• 每个节点（如 AndNode、GreaterThanNode、VariableNode）都实现 interpret($context) 方法，只从传入的上下文数组读值，不碰全局变量

变量绑定和上下文隔离怎么做

解释器执行时不能直接读全局变量或 $GLOBALS，否则规则能任意访问敏感数据。必须显式传入一个只读上下文数组，并在 VariableNode::interpret($context) 中查表。示例：

$context = [
    'age' => 25,
    'city' => 'beijing',
    'score' => 87
];
$result = $astRoot->interpret($context); // true 或 false

注意：$context 必须提前做过 filter_var_array() 校验，比如用 FILTER_VALIDATE_INT 和 FILTER_SANITIZE_STRING 分别处理数值型和字符串型字段，避免脏数据穿透到解释器内部。

实际部署时最容易被忽略的点

不是语法解析难，而是规则生命周期管理容易出问题：

• 缓存解析后的 AST 节点树，避免每次请求都重新 tokenize + parse；但要注意规则字符串变更后缓存失效逻辑
• 不允许规则中出现函数调用（如 now()、md5()），否则又退化成 eval() 风险区；所有时间、哈希等能力必须由宿主预先计算好，通过 $context 注入
• 错误提示要明确区分：是 token 错误（如未闭合引号）、语法错误（如 age && city 缺少比较符），还是运行时变量缺失（$context 里没有 age）——这三类错误的堆栈和日志级别应完全不同

以上就是本文的全部内容了，是否有顺利帮助你解决问题？若是能给你带来学习上的帮助，请大家多多支持golang学习网！更多关于文章的相关知识，也可关注golang学习网公众号。