Hàm eval() trong PHP

• Trần Thị Vân
• 1263
• 06/08/2025

Chức năng của Hàm eval() trong PHP

Hàm eval() trong PHP dùng để thực thi một chuỗi string như một đoạn code PHP, việc này ảnh hưởng tới việc bảo mật vì dễ bị chèn mã độc vào đoạn string, nên cẩn thận khi dùng hàm này.

Cú pháp của Hàm eval() trong PHP

eval("đoạn_code_php");

đoạn_code_php: Đoạn code PHP (Ví dụ: \$ketqua = \"$ketqua\";)

Code Hàm eval() trong PHP

<?php 
$ten = "Lực";
$tuoi = "35";

//in ra chuỗi có biến PHP không có dùng hàm eval()
$ketqua = 'Tôi tên là $ten, năm nay $tuoi tuổi';
echo $ketqua."<br>"; // Kết quả: Tôi tên là $ten, năm nay $tuoi tuổi
eval($ketqua); // Kết quả: Tôi tên là $ten, năm nay $tuoi tuổi

//in ra chuỗi có biến PHP, có dùng hàm eval()
eval("\$ketqua = \"$ketqua\";");
echo $ketqua; // Kết quả: Tôi tên là Lực, năm nay 35 tuổi
?>

Kết quả:

Tôi tên là $ten, năm nay $tuoi tuổi
Tôi tên là Lực, năm nay 35 tuổi

Những trường hợp nên tránh sử dụng eval() trong PHP

eval() cho phép PHP thực thi một chuỗi dưới dạng mã lệnh, nhưng chính khả năng này khiến hàm trở thành lựa chọn cần cân nhắc kỹ. Trong ứng dụng thực tế, nếu chuỗi được tạo từ dữ liệu bên ngoài hoặc chịu tác động bởi người dùng, việc sử dụng eval() có thể biến dữ liệu thông thường thành mã có khả năng được thực thi.

Vì vậy, thay vì dùng eval() để xử lý nhanh một tình huống đặc biệt, nên ưu tiên cách triển khai có cấu trúc rõ ràng và kiểm soát được dữ liệu đầu vào. Điều này giúp mã nguồn dễ đọc, dễ kiểm tra và hạn chế những rủi ro phát sinh khi ứng dụng được mở rộng.

Vì sao eval() có thể làm tăng rủi ro bảo mật?

Rủi ro lớn nhất xuất hiện khi nội dung đưa vào eval() có liên quan đến dữ liệu mà người dùng có thể kiểm soát. Nếu dữ liệu này không được kiểm soát chặt chẽ, kẻ xấu có thể tìm cách đưa cú pháp PHP vào chuỗi và khiến ứng dụng thực thi nội dung ngoài dự kiến.

Vấn đề còn nằm ở khả năng truy cập của đoạn mã được thực thi. eval() chạy trong phạm vi biến và ngữ cảnh hiện tại, do đó một chuỗi không đáng tin cậy có thể tác động đến dữ liệu hoặc logic đang tồn tại trong chương trình.

Ngay cả khi chưa xảy ra lỗ hổng trực tiếp, việc sử dụng eval() quá nhiều cũng khiến quá trình kiểm tra mã nguồn trở nên khó khăn. Các công cụ phân tích, bảo trì và tìm lỗi sẽ khó xác định chính xác những gì chương trình có thể thực thi tại một vị trí nhất định.

Giải pháp thay thế eval() trong các tình huống phổ biến

Trong nhiều trường hợp, eval() có thể được thay bằng cách xử lý dữ liệu theo cấu trúc cố định. Chẳng hạn, nếu cần lựa chọn hành động dựa trên một giá trị nhận được, có thể sử dụng if...else, switch hoặc một mảng ánh xạ thay vì ghép chuỗi PHP rồi thực thi.

Nếu cần gọi một hàm dựa trên tên được xác định trước, có thể xây dựng danh sách hàm được phép và chỉ thực hiện lời gọi đối với những giá trị nằm trong danh sách đó. Cách này giúp giới hạn rõ phạm vi xử lý thay vì cho phép một chuỗi tùy ý trở thành mã PHP.

Với các bài toán cần lưu cấu hình hoặc dữ liệu động, nên sử dụng định dạng dữ liệu phù hợp như JSON và xử lý bằng các hàm chuyên dụng. Khi đó, dữ liệu vẫn được giữ ở dạng dữ liệu thay vì bị biến thành mã lệnh, giúp ứng dụng an toàn và dễ bảo trì hơn.

Lời kết

Cảm ơn các bạn đã tham khảo bài viết Hàm eval() trong PHP.