将某些php文件限制为仅能够访问特定变量

Question

在我的webapp中，我允许企业客户完全自定义其wepage中的一种。 但是这些网页仍然是我的Web应用程序的一部分，并托管在我的服务器上。

我的客户应该能够使用CSS，HTML和Javascript完全设计他们的网页。 而且我也想让他们访问特定的动态变量。 我有3个不同的选项可让他们访问这些变量：

• 使用str_replace，以便我只用相应的动态值替换其网页中的某些变量名
• 使用诸如smarty之类的模板引擎，他们可以在自己的网页中使用
• 使用PHP本身，以便他们可以使用某些php变量

实际上，我认为第三个选择是最好的，因为PHP作为模板引擎已经可以很好地工作了。 但是，如果我让他们上载任何类型的php fil，我的客户也可以调用函数并触发数据库查询，因为他们的代码具有权限限制。

无论如何，有没有使用php文件的方法，但是只允许该php文件访问一定数量的预定义变量？ 尤其是在未经许可的情况下，无法执行数据库查询，读取全局变量，将内容保存到服务器或任何其他可能导致安全问题的操作。

Answer 1

模板引擎是必经之路。 保护PHP相当困难，即使不是不可能的。 我不知道您的情况或您的客户，但是根据我的经验，他们滥用这种机会的程度远远超过了利用机会的机会。 如果他们没有数据库访问权限，那就更是如此，因为那是拥有PHP的唯一真实原因。