php - PHP 作为模板引擎：限制功能并确保安全

Question

我在 MVC 风格的应用程序中使用 PHP 作为模板引擎。但是，我们现在需要通过 Web 前端编辑模板。有没有办法让这个安全可靠，所以有权编辑模板的用户没有能力在服务器上运行危险代码？或者，是否应该放弃使用 PHP 作为模板引擎，而使用许多其他模板引擎之一，例如 Smarty？

Answer 1

如果您真的想确保它的安全：不要将 PHP 用于您的模板。没有干净的方法来处理与您的应用程序代码不同的这些模板。

实际上，您正在寻找的是像 Smarty 或 FLOW3 的 FLUID（我更喜欢后者）这样的模板引擎，因为它们正是为这种需求（以及其他需求）而构建的。

Answer 2

我强烈推荐树枝。Twig 非常好，因为它非常模块化和可扩展，因此您最终会得到一个模板引擎，它既简单又复杂。

在生产中打开缓存也非常快。它也非常安全，因为它会清理和过滤向用户显示的内容，因此编辑模板的人不能执行任意 PHP 代码。