必须对exec与shell_exec进行严格封装以规避命令注入风险：一、白名单校验+escapeshellarg轻量封装；二、proc_open细粒度控制；三、chroot+selinux系统级隔离；四、sudo权限分级封装。
如果您在PHP中需要频繁执行系统命令，但又希望规避命令注入等安全风险，则必须对exec与shell_exec进行严格封装。以下是实现该目标的多种安全封装方案：
一、基于白名单校验与escapeshellarg的轻量封装类
该方案通过预定义合法命令与参数组合，并强制使用escapeshellarg对每个外部输入进行转义，确保参数被作为独立字符串传递，避免shell元字符解析。
1、定义允许执行的命令白名单数组，例如['ls', 'date', 'pwd', 'cat']，所有调用前必须在此列表中校验。
2、对每个用户传入的参数值调用escapeshellarg()包裹，禁止直接拼接进命令字符串。
3、构造命令时采用固定命令路径+白名单参数格式，例如/bin/ls -l ' . escapeshellarg($dir)，禁用动态命令名。
4、在执行前检查$PATH环境变量是否被篡改，优先使用/bin/ls而非ls等相对路径调用。
二、基于proc_open的细粒度控制封装类
该方案绕过shell解释器，直接启动子进程并独立管理stdin/stdout/stderr流，从根本上消除命令注入可能性，同时支持超时控制与资源监控。
1、使用proc_open声明描述符数组，明确指定仅打开stdout读取流，关闭stdin继承与stderr重定向。
2、设置stream_set_timeout()对stdout流施加5秒读取超时，防止子进程挂起阻塞主脚本。
3、通过ulimit -f限制子进程可写入文件大小，在命令中嵌入ulimit -f 10240防止磁盘填满。
4、执行完成后必须调用proc_close()释放资源，否则将导致句柄泄漏与僵尸进程累积。
三、基于chroot隔离与SELinux策略的运行时封装类
该方案不依赖PHP层过滤逻辑，而是通过操作系统级隔离机制限定命令执行边界，即使代码存在疏漏，攻击者也无法突破预设沙箱范围。
1、在php.ini中全局禁用exec、shell_exec、system、passthru等函数，仅在特定封装类内部通过ini_set临时启用。
2、将PHP进程运行于chroot jail中，使所有命令执行路径被限制在/var/www/safe-bin/目录下，外部文件系统不可见。
3、配置SELinux策略，禁止Apache用户执行/bin/sh、/usr/bin/perl、/usr/bin/python等通用解释器。
4、所有命令调用日志写入/var/log/php-secure-exec.log，该路径权限设为600且不在Web根目录内。
四、基于sudo权限分级与密码免交互的封装类
该方案适用于需以不同系统用户身份执行特权命令的场景，通过预配置sudoers规则实现最小权限原则，避免PHP进程长期持有高权限凭证。
1、在/etc/sudoers中添加无密码规则：www-data ALL=(root) NOPASSWD: /usr/sbin/service nginx start。
2、封装类中调用exec()时显式使用sudo -n执行，避免等待密码输入导致阻塞。
3、对每个sudo命令目标服务进行硬编码校验，拒绝任何未在白名单中的服务名参数。
4、执行前验证目标二进制文件是否存在且属主为root，防止符号链接劫持或替换攻击。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
