如何在 PHP 中安全地将数学表达式字符串（如

PHP 不支持直接对含运算符的字符串（如 "0 - 10"）执行算术运算，需将其解析为实际数值；虽可用 eval() 实现，但存在严重安全风险，推荐使用更安全的替代方案（如 symfony/expression-language 或自定义解析器）。

php 不支持直接对含运算符的字符串（如 `"0 - 10"`）执行算术运算，需将其解析为实际数值；虽可用 `eval()` 实现，但存在严重安全风险，推荐使用更安全的替代方案（如 `symfony/expression-language` 或自定义解析器）。

在实际开发中，有时会遇到类似场景：变量值以字符串形式动态生成（例如 "0 - 10"），但后续需参与数学计算。PHP 原生不支持将此类字符串作为表达式直接参与运算（如 $number + $variable 会触发类型强制转换，将 "0 - 10" 转为整数 0，导致结果错误）。

❌ 危险方式：eval()（不推荐）

尽管 eval() 可“求值”字符串表达式，但绝对禁止在任何含用户输入的场景中使用：

$number = "50";
$variable = "0 - 10";
eval("\$variable = $variable;"); // ⚠️ 执行任意代码！
$result = $number + $variable;
echo $result; // 输出 40（正确结果，但代价极高）

该写法存在致命安全隐患：若 $variable 来自表单、URL 或数据库（如被篡改为 "0; system('rm -rf /')"），将导致远程代码执行（RCE），服务器完全失守。

PHP 8.5.5

PHP 8.5.5 是 PHP 8.5 分支的维护更新版本。该版本延续了“小步快跑”的迭代逻辑，通过深度错误修复、底层性能微调以及安全加固，旨在为开发者提供一个更健壮、更高效的运行环境。该版本严格遵守语义化版本规范，不包含破坏性变更。

下载

✅ 推荐方案：使用专用表达式解析器

方案一：Symfony ExpressionLanguage（生产级首选）

安装后可安全解析简单算术表达式：

composer require symfony/expression-language

use Symfony\Component\ExpressionLanguage\ExpressionLanguage;

$expr = new ExpressionLanguage();
$number = 50;
$variable = "0 - 10";

// 安全求值：仅允许数字和基础运算符
try {
    $parsedValue = $expr->evaluate($variable); // 返回 int(-10)
    $result = $number + $parsedValue;
    echo $result; // 40
} catch (\Exception $e) {
    throw new \RuntimeException("无效的数学表达式: " . $variable);
}

方案二：轻量级正则+eval 替代（仅限可信数据）

若无法引入外部库，且确认 $variable 严格由服务端可控（如配置文件生成），可先校验格式再处理：

$number = 50;
$variable = "0 - 10";

// 仅允许数字、空格、+、-、*、/、(、) 的白名单校验
if (!preg_match('/^[\s\d+\-*\/().]+$/', $variable)) {
    throw new InvalidArgumentException("表达式包含非法字符");
}

// 使用无作用域的 eval（仍需谨慎）
$result = (int) @eval("return ($variable);");
if ($result === false) {
    throw new RuntimeException("表达式语法错误");
}

echo $number + $result; // 40