防止一句话木马，php禁用eval函数

eval()针对php安全来说具有很大的杀伤力,一般不用的情况下,为了防止<?php eval($_POST[key]);?> 这样的一句话木马,需要禁止掉的.

网上好多说使用disable_functions禁止掉eval 是错误的
其实eval() 是无法用php.ini中的disable_functions禁止掉的  because eval() is a language construct and not a function

eval是zend的 不是PHP_FUNCTION 函数；

php怎么禁止eval:

如果想禁掉eval 可以用 php的扩展 Suhosin

安装Suhosin后在

php.ini 中load进来Suhosin.so 加上suhosin.executor.disable_eval = on即可

总结,php eval函数在php中是无法禁用的我们也只有使用插件了