PHP调用系统命令需严防注入与资源滥用，应优先使用安全扩展，次选proc_open()并严格控制输入、路径、超时及权限，禁用危险函数并隔离运行环境。
如果在PHP脚本中需要执行操作系统层面的任务，例如文件处理、网络探测或服务管理，则可能需调用系统命令。但此类操作极易引入安全风险，尤其是当命令参数受用户输入影响时。以下是几种PHP调用系统命令的方式及其对应的安全控制要点：
一、使用exec()函数并过滤输入
exec()函数可执行外部命令并返回最后一行输出，适合仅需结果末行的场景。关键在于必须剥离不可信输入中的控制字符与命令分隔符，防止命令注入。
1、定义白名单允许的参数值，如限定目录路径为预设子集。
2、对用户传入的变量使用escapeshellarg()包裹，确保其被作为单一参数传递。
立即学习“PHP免费学习笔记（深入）”；
3、禁用动态拼接命令字符串，改用固定命令+严格校验后的参数组合。
4、执行前检查$PATH环境变量是否被篡改，优先使用命令绝对路径，例如/bin/ls而非ls。
二、采用shell_exec()配合输出重定向与超时控制
shell_exec()返回命令完整输出，适用于需全部结果的场景。但必须限制执行时长与输出体积，避免无限循环或大文件读取导致资源耗尽。
1、使用proc_open()替代shell_exec()以获得进程句柄，便于主动终止。
2、设置stream_set_timeout()对标准输出流施加读取超时。
3、通过ulimit -f限制子进程可写入文件大小，防止磁盘填满。
4、禁止将用户输入直接插入反引号或双引号包围的命令字符串中，任何未经过滤的$_GET或$_POST值均不可参与命令构造。
三、利用system()与passthru()时启用安全模式等效限制
system()逐行输出并返回最后状态码，passthru()则原样输出二进制流。二者均不自动过滤输入，因此需前置强制约束运行上下文。
1、在php.ini中设置disable_functions=exec,shell_exec,system,passthru,pcntl_exec，仅在必要脚本中临时启用。
2、使用chroot或容器隔离PHP运行环境，使命令执行范围限定于最小必要文件系统。
3、配置SELinux或AppArmor策略，禁止Apache/Nginx用户执行/bin/sh、/usr/bin/perl等解释器。
4、记录所有system()调用日志，包括完整命令字符串与调用栈，日志须写入非Web可访问路径且权限设为600。
四、改用proc_open()实现细粒度进程控制
proc_open()提供对stdin/stdout/stderr的独立流控制及进程资源监控能力，是高安全要求下的首选接口。
1、声明描述符数组，明确指定仅允许读取stdout，关闭stdin与stderr继承。
2、设置cwd选项为固定空目录，防止相对路径跳转至敏感位置。
3、通过proc_get_status()轮询检查进程状态，超过5秒未退出则调用proc_terminate()强制结束。
4、使用stream_get_contents()读取输出后立即fclose()所有管道流，避免文件描述符泄漏累积。
五、以扩展方式替代shell调用
多数系统功能已有安全封装的PHP扩展实现，应优先选用，从根本上规避shell解析环节。
1、文件压缩使用ZipArchive类而非调用zip命令。
2、图像处理使用GD或Imagick扩展而非convert命令。
3、发送邮件使用PHPMailer或内置mail()函数（配合正确配置的sendmail_path）而非直接调用/usr/sbin/sendmail。
4、执行HTTP请求使用cURL扩展或Guzzle，禁用curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true)以防重定向至恶意地址。
