во многих языках для таких случаев используют скриптовый язык LUA.
например дизайнеры игр на нем скриптуют игровые события.
в пхп есть экстеншен
php.net/manual/ru/book.lua.php либо можно чисто на пхп такой интерпретатор поискать.
такое решение позволит создать необходимую изоляцию и довольно понятный и дает большие возможности.
хотя по правде говоря может показаться избыточно, особенно если возможности нужны не супер сложные.
в мире пхп в большинстве случаев хватает библиотеки
symfony expression language
также обеспечивает изоляцию но весь код должен ограничиваться одним выражением.
UPD первое решение может показаться сложным (нужно еще и lua знать) а второе ограниченным. однажды например писал на пхп интепретатор excel-like формул. этот интепретатор формулы компилировал в пхп код, поэтому при исполнении это было довольно быстро. модуль получается конечно сложный, изоляция также полная, делал комбинируя код из symfony expression language и из твига, код в них довольно похожий, похоже от одних создателей.
часто в небольших проектах конечно используют как раз php eval, если админка доступна только владельцу сайта. это просто, удобно и полнофункционально, но не безопасно (и с этим ничего уже не сделать). любой кто получит случайный доступ к админке сможет выполнять любой код на сервере.