8

Eu dei uma olhada no código-fonte do laravel 3 e vi o seguinte código:

eval('?>'.$__contents);

Em outras ocasiões, já vi algo como:

$content = file_get_contents('file.php');
eval('?>' . $content . '<?php');

Por que temos que usar ?> e <?php quando usamos a função eval em um conteúdo de um script PHP?

Existe alguma razão especial pra isso?

1
  • você não tem que usar obrigatoriamente. O eval pega um conteúdo de uma string e valida como código PHP. Como vc esta incluindo um arquivo PHP provavelmente tem a tag "<?php" dentro dele que vai dar conflito com a tag de abertura (<?php) que esta no arquivo que esta chamando eval. Mesma coisa pra tag de fechamento. Então basicamente ele fecha a tag PHP no eval, inclui outro script abre a tag para continuar o script
    – Adir Kuhn
    12/08/2015 às 14:43

2 Respostas 2

7

Como funciona o eval:

O eval executa uma string como uma execução normal do PHP, exemplo:

$x = 2;
$y = 3;
$z = eval('return $x + $y;');
eval('echo $z;');

O exemplo acima irá imprimir 5 na tela, pois na linha 3 o eval retornou o resultado da soma das variáveis $x e $y e na linha 4 o eval imprimiu na tela com echo. Agora já temos uma ideia de como o eval funciona.

Por que usar '?>':

$content = file_get_contents('file.php');
eval('?>' . $content . '<?php');

Imagine que a estrutura do arquivo file.php começa assim:

<?php
  // faça algum procedimento...

Então quando o eval executar ele vai abrir a tag do PHP, que no caso já está aberta pelo código atual que está executando o eval, então nesse caso o eval deve fecha-la:

$content = file_get_contents('file.php');
eval('?>' . $content);

Essa execução ficaria:

$content = file_get_contents('file.php'); // apartir da próxima linha é a execução do `eval`
?><?php
  // faça algum procedimento...

Assim mesmo que o arquivo começasse com text (ou HTML) não haveria problemas:

$content = file_get_contents('file.php'); // apartir da próxima linha é a execução do `eval`
?><html>
     <head>
     <!-- restante do código -->

Fechar ou não a tag ?> no eval?

No caso de fechamento é a mesma coisa, porém um pouco mais complicada em alguns casos.

Imagine agora que o arquivo file.php termine com

// Termino dos procedimentos
?>

Então nesse caso deve-se reabrir a tag do PHP para que o PHP continue a execução, senão as linhas de código após o eval serão impressas como texto, exemplo:

$content = file_get_contents('file.php');
eval('?>' . $content.'<?php');
$sql = "INSERT INTO users (user, pass) VALUES ('admin', '123456')";

No exemplo acima, se o $content fechar a tag php ?> e se ela não fosse reaberta, as próximas linhas, como a da variável $sql seria impressa na tela para quem quiser ver. Isso seria um grande problema, já que o PHP permite e até é recomendável não fechar a TAG quando não há saída no buffer.

A maneira mais segura de evitar esse problema é verificar todas as linhas do código, e ver se existe ou não uma última ocorrência da tag de fechamento ?>.

Exemplo de rotina para verificar se a tag PHP está aberta ou fechada.

function checkTagPHP($linhas){
   $php = NULL; 
   foreach ($linhas as $linha) {
      $aber = strrpos($linha, '<?php');
      $fech = strrpos($linha, '?>');

      if ($aber > -1 && $fech > -1)
        $php = ($fech < $aber);
      else if ($aber > -1)
        $php = TRUE;
      else if ($fech > -1)
        $php = FALSE;
   }
   return $php;
}
$php = checkTagPHP($arrayDeLinhasDoCodigo);
// Após o loop
// $php == NULL  -> Não existe tag PHP no código
// $php == TRUE  -> Tag PHP aberta
// $php == FALSE -> Tag PHP Fechada

Assim você pode tomar a decisão de fechar ou não a tag PHP:

$content = file_get_contents('file.php');
$execute = '?>' . $content;

if (!checkTagPHP($content)) // Se Tag php estiver fechada
  $execute .= '<?php';

eval($execute);

Obs.: Os código acima não foram todos testados, podem haver algum erro de sintaxe.

1
  • Não consegui reproduzir esse caso de ativar o modo HTML dentro do eval e isso afetar o código PHP após o eval: ideone.com/4zra5T
    – bfavaretto
    12/08/2015 às 20:58
3

O eval do PHP espera receber um trecho de código válido, porém permite alternar para o "modo HTML". Por exemplo, este trecho, adaptado de um exemplo do manual

eval('echo "In PHP mode!"; ?>In HTML mode!<?php echo "Back in PHP mode!";');

dá a seguinte saída:

In PHP mode!In HTML mode!Back in PHP mode!

Ou seja, o eval "cospe" de volta o conteúdo que estiver em modo HTML, se ele for devidamente informado de que está nesse modo.

Os trechos que você citou na pergunta levam isso em conta, e tentam garantir que o conteúdo passado ao eval como uma variável qualquer ($__contents ou $content) seja interpretado em modo HTML. Ou seja, esse código foi feito para lidar com conteúdos deste tipo:

<h1>HTML Normal</h1>
<h2><?php echo $valorVindoDoBanco ?></h2>
...

Sem a precaução de forçar a entrada no modo HTML com ?>, esse código geraria um erro de sintaxe ao ser executado pelo eval.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .