Интересная статья от Александра Майорова: https://tech.geekjob.ru/disable-evil-eval-in-php-8/ Для начала важно уточнить, что eval() — это не функция, а языковая конструкция. Если бы это была функция, то можно было бы воспользоваться директивой в php.ini файле disable_functions. В своей статье Александр рассказывает, как нашел фрагмент...

Если вы хоть раз писали на PHP и вас тянуло использовать eval(), — остановитесь. Подумайте. Сделайте глубокий вдох. А теперь удалите этот код. eval() — это функция, которая позволяет выполнить любую строку как PHP-код. Красиво звучит, да? Только на практике это выглядит как оставленный на кухне включённый газ: пока всё тихо, но один неверный параметр — и вы получаете взрыв. Пример прост: $code = 'echo 2 + 2;'; eval($code); Выведет 4. И вроде бы всё замечательно. Но теперь подставим данные от пользователя: eval($_GET['data']); И всё...