需警惕PHP 8.4中eval()引发的远程代码执行风险，因其无法被disable_functions禁用；可行方法包括：一、启用PHP_diseval_extension扩展；二、部署Suhosin7兼容补丁版；三、启用宝塔内置PHP安全防护模块；四、手动注入Zend扩展钩子。

如果您在宝塔面板中运行 PHP 8.4 环境，发现存在使用 eval() 的代码路径，则需警惕其引发的远程代码执行风险。eval() 是 PHP 语言构造器，无法通过 php.ini 中的 disable_functions 直接禁用，必须采用扩展级或内核级干预手段。以下是针对 PHP 8.4 禁用 eval 的多种可行方法及其操作步骤：

一、启用 PHP_diseval_extension 扩展

PHP_diseval_extension 是专为 PHP 8.x 设计的轻量级扩展，通过编译注入方式拦截 eval 调用指令，在 Zend 引擎层直接拒绝执行，不修改 PHP 源码，兼容性高且无性能损耗。

1、登录服务器，进入根目录执行：cd / && git clone https://github.com/mk-j/PHP_diseval_extension.git

2、进入源码目录：cd /PHP_diseval_extension/source

3、使用 PHP 8.4 对应的 phpize 路径执行初始化（以宝塔默认路径为例）：/www/server/php/84/bin/phpize

4、配置编译参数（注意替换 --with-php-config 路径为实际 PHP 8.4 的 php-config 位置）：./configure --with-php-config=/www/server/php/84/bin/php-config

5、赋予 configure 可执行权限后重新运行：chmod +x ./configure && ./configure --with-php-config=/www/server/php/84/bin/php-config

6、编译并安装：make && make install

7、编辑 PHP 8.4 的 php.ini 文件（路径通常为 /www/server/php/84/etc/php.ini），在 extension_dir 下方新增一行：extension=php_diseval.so

8、重启 PHP 服务：service php-fpm-84 restart

二、部署 Suhosin7 兼容补丁版

Suhosin 原生不支持 PHP 8.x，但社区已发布适配 PHP 8.4 的 suhosin7 补丁分支，通过重写 executor 执行器逻辑实现 eval 禁用，同时保留 suhosin.executor.disable_eval 配置项语义，适合已有 Suhosin 运维习惯的用户。

1、下载适配 PHP 8.4 的 suhosin7 分支源码（推荐使用 GitHub 上 verified-for-php84 标签版本）：git clone -b verified-for-php84 https://github.com/suhosin/suhosin7.git

2、进入源码目录：cd suhosin7

3、调用 PHP 8.4 的 phpize：/www/server/php/84/bin/phpize

4、配置时指定 PHP 8.4 的 php-config：./configure --with-php-config=/www/server/php/84/bin/php-config

5、编译安装：make && make install

6、在 PHP 8.4 的 php.ini 中添加两行配置：extension=suhosin7.so

7、继续添加：suhosin.executor.disable_eval=on

8、验证模块加载：/www/server/php/84/bin/php -m | grep -i suhosin

三、启用宝塔内置 PHP 安全防护模块

宝塔面板 7.0+ 版本集成 PHP 内核级防御模块，该模块工作于 opcode 编译阶段，可识别并阻断含 eval、assert、create_function 等危险函数调用的脚本加载，无需编译扩展，配置即生效，适用于多 PHP 版本共存场景。

1、登录宝塔面板，进入【网站】→ 选择目标站点 → 点击【设置】→ 切换至【PHP 设置】选项卡

2、点击【禁用函数】右侧的【管理】按钮

3、在弹出窗口中勾选：eval（此时面板会自动识别并启用内核级拦截，而非仅写入 disable_functions）

4、确认保存后，点击【重载配置】按钮

5、在终端执行验证命令：/www/server/php/84/bin/php -r "eval('echo 1;');"，若返回 Fatal error: Uncaught Error: Call to undefined function eval()，则表示拦截成功

四、手动注入 Zend 扩展钩子（高级运维）

适用于对 PHP 内部机制熟悉、需最小侵入式控制的场景。该方法通过编写极简 Zend 扩展，在 zend_compile_file 和 zend_execute_ex 两个关键钩子点注入检测逻辑，一旦发现 ZEND_EVAL_STRING 指令立即中止执行，不依赖第三方扩展，完全自主可控。

1、创建钩子源文件 hook_eval.c，内容包含 zend_extension 结构体定义及 execute_ex 替换逻辑

2、使用 PHP 8.4 SDK 头文件编译：gcc -I/www/server/php/84/include/php -I/www/server/php/84/include/php/main -I/www/server/php/84/include/php/Zend -I/www/server/php/84/include/php/TSRM -fPIC -shared -o hook_eval.so hook_eval.c

3、将生成的 hook_eval.so 放入 PHP 扩展目录：cp hook_eval.so /www/server/php/84/lib/php/extensions/no-debug-non-zts-20250831/

4、在 php.ini 中添加：zend_extension=hook_eval.so

5、重启 PHP-FPM：systemctl restart php-fpm-84

# php  # git  # php8  # github  # 宝塔面板  # ai  # php安全  # 安全防护  # red  # echo  # for  # include  # Error  # 结构体  # undefined  # function  # https  # 适用于  # 重启  # 加载  # 已有  # 推荐使用  # 自动识别  # 您在  # 重写  # 不支持 

相关栏目： 【 网站优化151355 】 【 网络推广146373 】 【 网络技术251813 】 【 AI营销90571 】

相关推荐： 三星、SK海力士获美批准：可向中国出口芯片制造设备  java ZXing生成二维码及条码实例分享  Laravel怎么进行浏览器测试_Laravel Dusk自动化浏览器测试入门  如何在腾讯云服务器上快速搭建个人网站？  Win11怎么修改DNS服务器 Win11设置DNS加速网络【指南】  HTML透明颜色代码在Angular里怎么设置_Angular透明颜色使用指南【详解】  Laravel如何发送邮件和通知_Laravel邮件与通知系统发送步骤  ai格式如何转html_将AI设计稿转换为HTML页面流程【页面】  奇安信“盘古石”团队突破 iOS 26.1 提权  制作无缝贴图网站有哪些,3dmax无缝贴图怎么调？  如何在Windows环境下新建FTP站点并设置权限？  非常酷的网站设计制作软件,酷培ai教育官方网站？  网站设计制作书签怎么做,怎样将网页添加到书签/主页书签/桌面？  如何在Ubuntu系统下快速搭建WordPress个人网站？  Laravel如何实现事件和监听器？（Event & Listener实战）  Laravel如何为API编写文档_Laravel API文档生成与维护方法  Internet Explorer官网直接进入 IE浏览器在线体验版网址  高防服务器租用如何选择配置与防御等级？  如何确认建站备案号应放置的具体位置？  Laravel Eloquent关联是什么_Laravel模型一对一与一对多关系精讲  微信小程序 五星评分(包括半颗星评分)实例代码  西安市网站制作公司,哪个相亲网站比较好?西安比较好的相亲网站？  佐糖AI抠图怎样调整抠图精度_佐糖AI精度调整与放大细化操作【攻略】  如何解决hover在ie6中的兼容性问题  JavaScript如何操作视频_媒体API怎么控制播放  如何快速重置建站主机并恢复默认配置？  打开php文件提示内存不足_怎么调整php内存限制【解决方案】  MySQL查询结果复制到新表的方法(更新、插入)  Laravel如何编写单元测试和功能测试？（PHPUnit示例）  成都网站制作公司哪家好,四川省职工服务网是做什么用？  微信小程序 闭包写法详细介绍  JS碰撞运动实现方法详解  QQ浏览器网页版登录入口 个人中心在线进入  Laravel Admin后台管理框架推荐_Laravel快速开发后台工具  Laravel中的Facade(门面)到底是什么原理  Laravel如何使用模型观察者？（Observer代码示例）  Laravel用户密码怎么加密_Laravel Hash门面使用教程  公司门户网站制作公司有哪些,怎样使用wordpress制作一个企业网站？  Laravel如何集成Inertia.js与Vue/React？（安装配置）  中国移动官方网站首页入口 中国移动官网网页登录  香港网站服务器数量如何影响SEO优化效果？  西安专业网站制作公司有哪些,陕西省建行官方网站？  ,网页ppt怎么弄成自己的ppt？  Midjourney怎么调整光影效果_Midjourney光影调整方法【指南】  Laravel N+1查询问题如何解决_Eloquent预加载(Eager Loading)优化数据库查询  北京网站制作的公司有哪些,北京白云观官方网站？  Laravel如何集成第三方登录_Laravel Socialite实现微信QQ微博登录  PHP怎么接收前端传的文件路径_处理文件路径参数接收方法【汇总】  如何快速查询域名建站关键信息？  米侠浏览器网页图片不显示怎么办 米侠图片加载修复