Есть ли «Белый список » php функций?
чтобы были исключены такие функции как popen,pclose,exec,system,include
в php.ini disable_functions = тут через запятую перечесляйте запрещённые функции.
Так же можно не глобально а для юзера сделать отдельный php.ini и там перечислить запрещённые функции.
Когда то игрался с такой штукой:  evileval.sourceforge.net