如何在 PHP 中安全地执行外部 shell 命令_使用 escapeshellarg 过滤-php教程-PHP中文网

escapeshellarg()仅确保单个用户输入被当作不可分割的字面量参数，通过单引号包裹和内部单引号转义实现；它不防护命令链、不替代输入校验与白名单，且对非字符串输入存在类型安全风险。

如何在 php 中安全地执行外部 shell 命令_使用 escapeshellarg 过滤

直接结论：escapeshellarg() 是最常用、最有效的单参数防护手段，但它只保“一个参数”，不保整个命令链，也不能替代输入校验和白名单机制。

它只对传入的单个字符串做两件事：加单引号包裹 + 把内部所有单引号转义为 \'。结果是让这个字符串在 shell 中被当作「一个不可分割的字面量」处理，无法触发分号、管道、反引号等命令分隔行为。

常见错误现象：

用户传 test.txt; rm -rf /，没过滤时会执行两条命令；加了 escapeshellarg() 后变成 'test.txt; rm -rf /'，shell 就真把它当文件名了
含空格路径如 my file.jpg，不加 escapeshellarg() 会被拆成两个参数，导致命令报错或行为异常

使用场景：适用于所有需要把用户输入作为「单个参数」传给命令的场合，比如文件名、用户名、ID 字符串。

注意：escapeshellarg() 不处理命令本身（如 ls、convert），也不防路径穿越（../../etc/passwd），更不解决权限失控问题。

因为 shell 解析顺序是「先分词，再执行」，而 escapeshellarg() 只管单个词的边界，不管多个词之间的逻辑关系。一旦你用 . 拼接多个 escapeshellarg() 结果，中间的空格、符号仍可能被 shell 当作操作符解析。

例如这段代码依然危险：

exec('convert ' . escapeshellarg($input) . ' -resize 500x500 ' . escapeshellarg($output));

问题出在 -resize 前后都是空格，如果 $input 是 image.jpg -profile /etc/shadow（合法文件名），那整个命令就变成：

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

convert 'image.jpg -profile /etc/shadow' -resize 500x500 'out.jpg'

ImageMagick 会照单全收并读取敏感文件。

正确做法包括：

这两个函数常被混用，但作用对象完全不同：

escapeshellarg()：输入是「一个参数值」，输出是「带引号的安全参数」，适合变量插在命令中间，如 ls -l <here></here>
escapeshellcmd()：输入是「整条命令字符串」，输出是「所有危险字符被反斜杠转义的命令」，适合拼接完的完整命令，如 ls -l *.txt | head -n1

但要注意：escapeshellcmd() 不会处理参数内部的特殊含义，比如 $(id) 或 `id` 在引号内仍可能被执行（取决于 shell 模式），且它不加引号，所以对含空格参数无效。

典型误用：

$cmd = "ls -l " . $_GET['dir']; // 危险拼接
exec(escapeshellcmd($cmd)); // 错！$cmd 里已有未过滤变量，转义晚了

正确顺序永远是：先校验 → 再 escapeshellarg() → 最后拼接 → （可选）escapeshellcmd() 仅用于兜底整条命令（不推荐依赖）。

没有银弹，只有层层设防。一个最小可行的安全链是：

检查是否必须用 shell：能用 file_get_contents() 就别用 shell_exec('cat')；能用 getimagesize() 就别调 identify
输入强校验：用 filter_var()、ctype_alnum() 或正则限定字符集；路径类变量必过 basename()
参数隔离：每个用户输入都单独套一层 escapeshellarg()
命令白名单：只允许执行预定义的几个脚本路径，如 $scripts = ['resize' => '/usr/local/bin/img-resize.sh']
系统加固：PHP 进程用低权限用户运行；必要时在 php.ini 中禁用 exec,system,passthru,shell_exec