Es besteht außerdem noch die Gefahr, dass Variablen aus dem Programm, die nicht dafür gedacht sind, angezeigt zu werden, ausgegeben werden.

Meiner Meinung nach ist die sauberste Lösung, nur eine Liste von erlaubten Variablen zu ersetzen. Dies kann dann auch gerne mit irgendeiner Template-Engine geschehen (oder eben über simples Search-Replace). Neben meiner generellen Abneigung gegen eval($skalar) kommt noch dazu, dass man interessante Informationen doch oft gar nicht als lokale (als globale schon gar nicht!) "einfache" Variablen vorliegen hat, sondern oft befinden sich interessante Werte doch in Objekten, d.h. einzelne $var im String wären dann durch $object->method() zu ersetzen.