本文详解 PHP 调用 Perl 脚本时，因未正确转义参数导致字符串被空格截断的问题，并提供基于 escapeshellarg() 的安全解决方案及 Perl 端健壮处理方式。
本文详解 php 调用 perl 脚本时，因未正确转义参数导致字符串被空格截断的问题，并提供基于 `escapeshellarg()` 的安全解决方案及 perl 端健壮处理方式。
在 PHP 中通过 shell_exec() 调用外部 Perl 脚本是常见需求，但若直接拼接用户输入（如 $user_input = "first second third"），极易引发两个关键问题：参数截断和命令注入漏洞。
根本原因在于 Shell 的参数解析机制：当执行
shell_exec('/usr/bin/perl /var/www/my_site/myperl.pl ' . $user_input)实际生成的命令为：
/usr/bin/perl /var/www/my_site/myperl.pl first second third
Shell 将其拆分为 4 个独立参数（脚本路径 + 3 个单词），而 Perl 的 shift 仅获取第一个参数 "first"，后续单词被忽略——这正是您只看到 "FIRST" 的原因。
立即学习“PHP免费学习笔记（深入）”；
✅ 正确做法：使用 escapeshellarg() 对输入进行安全转义
该函数会自动添加单引号并转义内部特殊字符，确保整个字符串作为单个参数传递：
$user_input = "first second third";
$result = shell_exec('/usr/bin/perl /var/www/my_site/myperl.pl ' . escapeshellarg($user_input));
echo trim($result); // 输出：FIRST SECOND THIRD对应生成的安全命令为：
/usr/bin/perl /var/www/my_site/myperl.pl 'first second third'
⚠️ 注意事项：
- 永远不要跳过 escapeshellarg() —— 即使当前输入看似“安全”，用户可控输入均可能含 ', ", $, `, \ 等 Shell 元字符，不加防护将导致任意命令执行；
- escapeshellarg() 适用于单个参数；若需传递多个独立参数，应对每个参数单独调用；
- Perl 端需明确接收并处理完整参数（见下文）。
? Perl 脚本（myperl.pl）优化版：
#!/usr/bin/perl
use strict;
use warnings;
# 获取第一个（且唯一）命令行参数
my $input = shift @ARGV or die "Usage: $0 <string>\n";
# 按空格分割、逐词大写、重新拼接（保留原始空格结构可选）
my @words = split /\s+/, $input;
my $result = join ' ', map { uc($_) } @words;
print $result . "\n";? 进阶建议：
- 若需更高安全性或更复杂数据交换（如含换行、二进制内容），推荐改用 STDIN 管道通信：PHP 通过 proc_open() 向 Perl 标准输入写入 JSON/UTF-8 字符串，Perl 读取 STDIN 并输出结果——完全规避 Shell 解析层；
- 在 Perl 中避免使用裸 print uc $var（原代码中 foreach $var ($var1) 实际是标量遍历，无意义），应明确分词逻辑。
总结：解决“只读取首词”问题的关键不在 Perl 逻辑本身，而在 PHP 层的参数传递安全性设计。escapeshellarg() 是 shell_exec() 场景下的必备防护措施，配合清晰的 Perl 参数处理，即可稳定、安全地实现跨语言字符串转换。
