Si tienes una entrada dentro de un eval y no tienes cuidado podrían ejecutar código php. Si dejas subir archivos sin tener cuidado con lo que suben, podrían subir un archivo php y ejecutarlo. Si no tienes cuidado con lo que metes en tu base de datos podrían ejecutar código sql o ejecutar comandos remotos en el servidor. Si lo que sale del SQL lo evaluas podrían ejecutar código php. Si no tienes cuidado con los system, podrían ejecutar comandos remotos.

En general, cuidadito (mucho) con todo lo que te dan los usuarios o si no... la lias y gorda. Osea que limpies todo lo que te dan los usuarios desde php aunque lo hayas hecho ya desde html/javascript y acepta sólo los parámetros que esperas o no aceptes lo que te da el cliente. Y cuidado, mucho cuidado con los JSON que los carga el diablo. Hay gente que une una entrada de JSON con un "==" y un hash, y esa combinación suele ser fantástica.

Yo creo que depende de como mires la pregunta. Cuando un usuario hace una petición se corre una serie de funciones de lado del servidor. Entonces técnicamente el usuario si usa tus funciones, solo que está limitado por la interfaz del servidor. Que tanto le dejes a un usuario hacer uso de tus funciones va a depender de como programes tu servidor.