Как запретить использование стандартных функций php?

Question

[Петр Васильев]

Пишу pet проект - поделка в стиле AWS.
Хочу запретить использование абсолютно всех функций встроенных php , встал вопрос как это вообще возможно ?
Перекомплилировать бинарник ?

Comments

[irishmann]

Если ты отключишь все функции, то чем будет оставшийся огрызок?

[Иван Шумов]

Какую задачу пробуешь решить вообще?) И при чем тут AWS?)

[Петр Васильев]

Иван Шумов, Задача в использовании php как языка математических формул в вебе.
Добавил анонимную функцию через веб панель.
Добавил данные.
На сервере отложено произошел расчет.
Вывел данные где-то.
Задача в том, чтобы обезопасить сервер от всяких неприятных процедур вроде eval и работы с файлами.
Все нужные функции будут вручную переписаны в какую-то библиотеку

[Дмитрий]

Петр Васильев, так сделайте интерфейсы и работайте через них, зачем вам выпиливать что то, что я думаю даже авторы языка не смогут

[Дмитрий]

Петр Васильев, я уверен, что Вы не в ту сторону идёте.

[Петр Васильев]

Дмитрий, Что значит интерфейсы ?

[Петр Васильев]

Дмитрий, Почему ?

[Дмитрий]

Петр Васильев, https://www.php.net/manual/ru/language.oop5.interf...

[Дмитрий]

Петр Васильев, думаю, что отключение встроенных функций ни к чему хорошему не приведёт.

[Петр Васильев]

Дмитрий, Интерфейсы - лишнее усложнение, как и классы.
Php нужен как инструмент для описания математических формул. Здесь совершенно не нужны библиотеки работы с файлами, сетью и по-сути нужен только сам голый язык. Без батареек.
Юзкейс: Человек вводит в textarea с подсветкой синтаксиса функцию даже без указания того, что это функция. какой-то код и return в конце. Это все.

[Иван Шумов]

Петр Васильев, это все решается через анализ ввода данных. Более того, есть куча других вещей, которые решат данный вопрос лучше, такие как математические процессоры

[Дмитрий]

Интерфейсы - лишнее усложнение, как и классы.

Петр Васильев, смотря с какого бока посмотреть. Отключать всё подряд? Зачем? Посмотрите в сторону фильтрации данных.

[Петр Васильев]

Дмитрий, https://www.php.net/manual/ru/runkit.sandbox.php можно не смотреть

[Дмитрий]

Петр Васильев, а мне то что? не смотрите)))

Answer 1

[bkosun]

Виртуальная машина PHP

Экземпляр класса Runkit_Sandbox создает отдельный поток основного процесса с собственным окружением и выделенной областью памяти (стеком). С помощью дополнительных параметров конструктора можно ограничивать функционал интерпретатора в песочнице, создавая таким образом безопасное окружение для выполнения пользовательского кода.

$options = array(
  'safe_mode'=>true,
  'open_basedir'=>'/var/www/users/jdoe/',
  'allow_url_fopen'=>'false',
  'disable_functions'=>'exec,shell_exec,passthru,system',
  'disable_classes'=>'myAppClass',
);

$sandbox = new Runkit_Sandbox($options);

$sandbox->ini_set('html_errors', true);

// ...

$sandbox->eval('var_dump(isset($foo));');

https://php.net/manual/ru/runkit.sandbox.php

UPD: Так же есть сторонние библиотеки, например:

https://github.com/Corveda/PHPSandbox

Comments

[Петр Васильев]

Спасибо

[FanatPHP]

Это ты ему сейчас предложил перечислить в disable_functions всю стандартную библиотеку?

Answer 2

[Антон Р.]

Сделать скрытый "словарь" запрещенных функций и весь код каждый раз прогонять через этот фильтр, если там есть встроенные функции которые есть в словаре то die().

Comments

[Петр Васильев]

Можно конечно еще и использовать рефлексию . Но все малость не безопасно

[Дмитрий]

Думаю товарищ не до конца ещё понял как работает php. От того и такие странные идеи. Плюс реализация наверное через eval

[Антон Р.]

Дмитрий, при любых вариантах это будет дичайшая нагрузка ибо словарь запрещенных функций будет гигантский.

[Дмитрий]

Антон Р., проще пойти с другой стороны, белый список

[Антон Р.]

Дмитрий, как ты сделаешь белый список если юзер может свои функции назвать как угодно?

[Дмитрий]

Антон Р., так это и для чёрного списка тогда правдиво. Ну назвать то одно, в теле то все равно будет функция

[Антон Р.]

Дмитрий, для черного списка проще:

$stopList; // Массив запрещенных встроенных функций.
if(in_array($stopList)){
 echo 'Пшёл вон, болван!';
}

[Дмитрий]

Антон Р., ну добавив отрицание! и вот уже белый список)

Answer 3

[FanatPHP]

Как тебе уже не один раз сказали в комментариях, надо выкинуть эту дурь из головы и сделать парсер для ввода. Тем более что у тебя математика, для которой готовых парсеров как грязи.

Comments

[Дмитрий]

Петр Васильев, хамить толь не надо.