2

O PHP a partir da versão 5.3 passou a implementar o recurso chamado funções anônimas ou Closure.

O seu uso se dá dessa maneira:

$sort = function ($a, $b) { return $a - $b; };
$array = [1, 3, 2];
usort($array, $sort);

Porém, quando se trata das versões anteriores, não temos um recurso desse tipo, sendo necessário usar dois possíveis recursos alterativos:

  • Criar funções inicializadas por _ para identificar que a mesma é "temporária" ou é apenas para callback.

Exemplo:

function _sort($a, $b)
{
   return $a - $b;
}

usort($array, '_sort');
  • Usar a função create_function.

Exemplo:

$lambda = create_function('$a, $b', 'return $a-$b;');
usort($array, $lambda);

Nesse último caso, entra o meu questionamento, pois essa função usa eval internalmente. E isso está no manual.

Exemplo:

create_function('', 'ERRO_DE_SINTAXE_DE_PROPOSITO')

Saída será:

PHP Parse error: syntax error, unexpected '}' in phar:///usr/local/bin/psysh/src/Psy/ExecutionLoop/Loop.php(76) : eval()'d code(1) : runtime-created function on line 1

Sendo assim, por conta de utilizar o eval internamente, o seu uso é recomendável? Ou, em caso de versões que não exista Closure, devo usar a função com o underline antes?

2 Respostas 2

1

Você pode usar a função create_function, contudo precisa evitar os casos de uso problemáticos dela. Primeiramente, como essa função utiliza eval internamente, é muito importante que não passe nenhum dado inserido pelo usuário, exemplo:

$x = $_POST['user_input'];
$lambda = create_function('', 'return "O usuário digitou: ' . $x . '";');

Fazendo algo como no caso acima você, deixa um brecha para alguém executar código arbitrário no seu sistema. Vai se dar mal!

Fora o problema de segurança clássico de eval, create_function tem mais um caso com que você deve ficar atento, segundo a própria documentação a função has bad performance and memory usage characteristics. Então você, definitivamente, não vai querer invocar ela dentro de um trecho de código muito usado no seus sistema - um laço ou um método central que vários outros método usam por exemplo.

Como eu escrevi antes, você pode usar a função, mas tem que ficar se policiando (e os seus colegas ;]) para não gerar um problema de segurança, de performance ou vazamento de memória.

Como todo mundo eventualmente erra uma hora, basta você fazer a mesma coisa um número suficiente de vezes. É, provavelmente, mais sensato ficar longe dela e se ater à sua convenção de prefixar funções temporárias com _.

1

Do meu ponto de vista a premissa do uso de eval() e create_function() é basicamente o mesmo do que já respondi em:

A insegurança esta em expor ao usuário o uso disto, ou até mesmo expor entrada de dados variantes do qual você não tem controle total, por exemplo:

$data = $_GET['data'];

$foo = create_function('$arg', "return $data == $y;");

echo $foo;

Então o usuário inseri algo como na URL:

http://site.com/foo.php?data=print_r%28%24_SESSION%29

Então seria processado gerado algo como em $foo:

function () {
     return print_r($_SESSION) == $arg;
}

Desta forma alguém mal intencionado poderia exibir todos dados de sessão sensíveis. Outro exemplo de expor os dados possivelmente sensíveis:

http://site.com/foo.php?data=var_dum%28pget_defined_constants%28%true%29%,get_defined_vars%28%%29%

Então seria processado gerado algo como em $foo:

function () {
     return var_dump(get_defined_constants(true), get_defined_vars()) == $arg;
}

Em todos casos o problema é a exposição da entrada de dados e não com as funções em si.


Porque não usar create_function

Independente da questão de segurança o uso de create_function esta em desuso desde o php7.2:

http://php.net/manual/en/function.create-function.php

This function has been DEPRECATED as of PHP 7.2.0. Relying on this function is highly discouraged.

isto porque para a maioria dos casos uma função lambda/Closure já resolve tudo e para os dados mais complexos uma string pode se comportar com parte da linguagem provavelmente eval vai resolver (o que raramente é necessário, talvez para um sistema de macro seria útil)

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .