將某些php文件限制為僅能夠訪問特定變量

Question

在我的webapp中，我允許企業客戶完全自定義其wepage中的一種。 但是這些網頁仍然是我的Web應用程序的一部分，並托管在我的服務器上。

我的客戶應該能夠使用CSS，HTML和Javascript完全設計他們的網頁。 而且我也想讓他們訪問特定的動態變量。 我有3個不同的選項可讓他們訪問這些變量：

• 使用str_replace，以便我只用相應的動態值替換其網頁中的某些變量名
• 使用諸如smarty之類的模板引擎，他們可以在自己的網頁中使用
• 使用PHP本身，以便他們可以使用某些php變量

實際上，我認為第三個選擇是最好的，因為PHP作為模板引擎已經可以很好地工作了。 但是，如果我讓他們上載任何類型的php fil，我的客戶也可以調用函數並觸發數據庫查詢，因為他們的代碼具有權限限制。

無論如何，有沒有使用php文件的方法，但是只允許該php文件訪問一定數量的預定義變量？ 尤其是在未經許可的情況下，無法執行數據庫查詢，讀取全局變量，將內容保存到服務器或任何其他可能導致安全問題的操作。

Answer 1

模板引擎是必經之路。 保護PHP相當困難，即使不是不可能的。 我不知道您的情況或您的客戶，但是根據我的經驗，他們濫用這種機會的程度遠遠超過了利用機會的機會。 如果他們沒有數據庫訪問權限，那就更是如此，因為那是擁有PHP的唯一真實原因。