本文介绍如何将包含数学运算的字符串（如"(5+10)-8+2*2"）解析并计算出结果（如11），重点讲解eval()的用法及其关键安全风险与替代方案。
本文介绍如何将包含数学运算的字符串（如"(5+10)-8+2*2"）解析并计算出结果（如11），重点讲解`eval()`的用法及其关键安全风险与替代方案。
在PHP中，若需对动态生成的数学表达式字符串求值，最直接的方式是使用内置函数 eval()。例如：
$equation = "(5+10)-8+2*2";
echo eval('return ' . $equation . ';'); // 输出：11
⚠️ 注意：eval() 必须配合 return 语句使用（因 eval() 执行的是代码块，而非表达式），且绝不能直接执行用户输入的内容——否则将导致远程代码执行（RCE）等严重安全漏洞。
✅ 安全实践建议：
- 仅对完全可信、硬编码或经严格校验的表达式使用 eval()；
- 推荐使用白名单正则过滤：只允许数字、括号、+-*/. 和空格；
- 更安全的替代方案包括：
- 使用第三方库如 symfony/expression-language（支持沙箱模式）；
- 或轻量级解析器如 matthiasmullie/expr，专为安全数学表达式设计。
示例：安全校验后执行（基础防护）
$equation = "(5+10)-8+2*2";
if (preg_match('/^[0-9+\-*/().\s]+$/', $equation)) {
echo eval('return ' . $equation . ';');
} else {
throw new InvalidArgumentException('Invalid mathematical expression');
}
总结：eval() 能快速实现字符串数学求值，但安全性是首要考量。生产环境务必避免未经净化的用户输入，并优先选用专用表达式引擎替代 eval()。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
