必须修改正确 php.ini 文件并严格遵循格式：用 php --ini 找到 loaded configuration file 路径，disable_functions 值须小写、逗号无空格、不换行、无尾逗号；禁用 exec,system,passthru,proc_open,pcntl_exec,file_put_contents,symlink,assert 等高危函数，禁后需用测试脚本和 php -r 验证生效。
禁用 PHP 8.0 危险函数，必须改对 php.ini 文件里的 disable_functions，且逗号不能带空格、函数名必须小写、改完必须重启服务——漏掉任一环节，函数就还在运行。
怎么找到真正生效的 php.ini 文件
PHP 有多个配置文件，CLI（命令行）和 Web（如 Apache/FPM）用的不是同一个。改错位置等于没改：
- 在终端运行
php --ini，看Loaded Configuration File对应的路径——Web 服务用的就是这个 - Apache 环境常见路径：
/etc/php/8.0/apache2/php.ini - PHP-FPM 常见路径：
/etc/php/8.0/fpm/php.ini，改完要执行sudo systemctl reload php8.0-fpm - 宝塔用户直接进面板 → 软件管理 → PHP 8.0 → 设置 → 配置修改，路径通常是
/www/server/php/80/etc/php.ini
disable_functions 的写法必须严格合规
看似简单的一行配置，90% 的失效都源于格式错误：
- 函数名之间只允许英文逗号分隔，逗号后不能有空格：
exec,system,passthru✅，exec, system, passthru❌ - 整行不能换行，否则 PHP 截断解析，后面全失效
- 函数名必须小写：
exec有效，EXEC或ExEc完全不识别 - 末尾不能多加逗号，
exec,会导致整行配置被忽略 - 不支持通配符，
pcntl_*必须逐个写：pcntl_exec,pcntl_fork,pcntl_waitpid
PHP 8.0 真正该禁、不该禁的函数清单
禁太多会崩框架（比如 Laravel 报 warning 却不崩溃，误以为安全），禁太少留后门。核心原则：只禁能直接执行命令、启动进程、写任意文件的函数。
- 必须禁（RCE 高危链常用）：
exec,shell_exec,system,passthru,proc_open,popen,pcntl_exec,file_put_contents,symlink,assert - 建议禁（配合其他漏洞可绕过限制）：
putenv,ini_set,curl_exec（防 SSRF 读敏感文件） - 没必要禁（影响大、风险低）：
unserialize（危险的是反序列化逻辑，不是函数本身）、create_function（PHP 8.0+ 已彻底移除）、getrusage（Laravel Telescope 会调用，禁了只报 warning）
禁完一定要实测，别信 phpinfo()
phpinfo() 页面里看到 disable_functions 值不为空，不代表真生效——常见错误是格式不对导致整行失效，结果值显示为空或只生效第一个。
- 写个测试脚本：
<?php echo exec('id'); ?>，访问时页面空白或报Warning: Function exec is disabled才算成功 - 命令行验证：
php -r "var_dump(function_exists('proc_open'));"应返回bool(false) - 注意：禁用后调用函数返回
NULL并触发E_WARNING，不是Fatal error，日志里才有记录
最易被忽略的是 proc_open 和 pcntl_exec——它们比 exec 更隐蔽，WebShell 如 AntSword 默认优先尝试，且日志里不显命令字符串；还有 putenv 和 ini_set，单独看不危险，但配合 open_basedir 绕过就是关键跳板。配置不是写完就完事，得盯日志、跑测试、查进程。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
