¿Hay alguna forma de ejecutar el código php en un sandbox desde dentro de php

Question

? Quiero ejecutar un php-script desde php que usará diferentes constantes y diferentes versiones de clases que ya están definidas.

¿Existe una caja de arena php_module donde podría simplemente:

sandbox('script.php'); // run in a new php environment 

en lugar de

include('script.php'); // run in the same environment 

O es proc_open() la única opción?

PD: no se puede acceder al script a través de la web, por lo que fopen ('http://host/script.php') no es una opción.

Answer 1

Hay runkit, pero puede que le resulte más sencillo simplemente llamar al script a través de la línea de comandos (Use shell_exec), si no necesita ninguna interacción entre los procesos maestro e hijo.

Answer 2

También, usted debe buscar en el backtick operator:

$sOutput = `php script_to_run.php`; 

Esto le permitirá inspeccionar la salida de la secuencia de comandos que está ejecutando. Sin embargo, tenga en cuenta que la secuencia de comandos se ejecutará con los privilegios que tiene, pero puede eludir esto mediante el uso de sudo en Linux.

Este enfoque también asume que tiene instalada la CLI de PHP, que no siempre es el caso.

Answer 3

Es una clase en GitHub que puede ayudar, en sus etapas iniciales pero parece prometedora.

https://github.com/fregster/PHPSandbox

Answer 4

Hay Runkit_Sandbox - es posible conseguir que funcione, es una extensión de PHP. Yo diría el camino a seguir.

Pero es posible que tengas que crear tu propio "espacio aislado", p. Ej. al restablecer el estado de variable global de los superglobales que usa.

class SandboxState 
{ 
    private $members = array('_GET', '_POST'); 
    private $store = array(); 
    public function save() { 
     foreach($members as $name) { 
      $this->store[$name] = $$name; 
      $$name = NULL; 
     } 
    } 
    public function restore() { 
     foreach($members as $name) { 
      $$name = $this->store[$name]; 
      $this->store[$name] = NULL; 
     } 

    } 
} 

Uso:

$state = new SanddboxState(); 
$state->save(); 

// compile your get/post request by setting the superglobals 
$_POST['submit'] = 'submit'; 
... 

// execute your script: 
$exec = function() { 
    include(func_get_arg(0))); 
}; 
$exec('script.php'); 

// check the outcome. 
... 

// restore your own global state: 
$state->restore(); 

Answer 5

sé que es tema no es 100% relacionado, pero que puede resultar útil para alguien n__n

function require_sandbox($__file,$__params=null,$__output=true) { 

    /* original from http://stackoverflow.com/a/3850454/209797 */ 

    if($__params and is_array($__params)) 
    extract($__params); 

    ob_start(); 
    $__returned=require $__file; 
    $__contents=ob_get_contents(); 
    ob_end_clean(); 

    if($__output) 
    echo $__contents; 
    else 
    return $__returned; 

}; 

Answer 6

he desarrollado una clase de caja de arena de licencia BSD por esta misma propósito. Utiliza la biblioteca PHPParser para analizar el código de espacio aislado, compararlo con las listas blancas y listas negras configurables por el usuario, y presenta una amplia gama de opciones de configuración junto con una configuración predeterminada. Para sus necesidades, puede redefinir fácilmente las clases llamadas en su código de espacio aislado y encaminarlas a otras diferentes.

El proyecto también incluye un kit de herramientas de espacio aislado (¡solo en su máquina local!) Que se puede utilizar para experimentar con la configuración de la zona de pruebas, y una documentación manual y API completa.

https://github.com/fieryprophet/php-sandbox

Answer 7

ejecución de la función dinámica plugin que permite que el archivo cargado y la función para ejecutar lo que quiera, sin embargo, sólo puede tomar y las variables que pueden ser json_encode 'ed volver.

function proxyExternalFunction($fileName, $functionName, $args, $setupStatements = '') { 
    $output = array(); 
    $command = $setupStatements.";include('".addslashes($fileName)."');echo json_encode(".$functionName."("; 
    foreach ($args as $arg) { 
    $command .= "json_decode('".json_encode($arg)."',true),"; 
    } 
    if (count($args) > 0) { 
    $command[strlen($command)-1] = ")";//end of $functionName 
    } 
    $command .= ");";//end of json_encode 
    $command = "php -r ".escapeshellarg($command); 

    exec($command, $output); 
    $output = json_decode($output,true); 
} 

el código externo es totalmente un recinto de seguridad y se puede aplicar cualquier restricción de permiso que desea haciendo sudo -u restricedUser php -r ....