需严格约束php调用python脚本的安全执行环境：一、限定脚本路径与权限；二、禁用shell元字符并白名单校验参数；三、用proc_open替代exec实现超时与资源控制；四、python端启用沙箱与输入验证；五、重定向stderr并记录结构化日志。
如果您在PHP项目中需要调用Python脚本执行爬虫或数据处理任务，但直接使用exec函数存在命令注入、路径失控或输出截断等风险，则需严格约束执行环境与参数传递方式。以下是保障调用过程安全可控的具体操作步骤：
一、限制Python脚本执行路径与权限
防止恶意代码通过相对路径或符号链接跳转至非预期目录，需将Python脚本限定在专用隔离目录，并设置最小必要文件权限。该目录不应包含可写入的父级路径，且PHP运行用户对该目录仅有读取与执行权限。
1、创建专用脚本目录：mkdir -p /var/www/php-python-scripts
2、将Python脚本复制至该目录：cp /path/to/your/spider.py /var/www/php-python-scripts/
3、设置目录权限：chown -R www-data:www-data /var/www/php-python-scripts
4、仅授予读取与执行权限：chmod 755 /var/www/php-python-scripts && chmod 644 /var/www/php-python-scripts/spider.py
二、禁用shell元字符并白名单参数校验
避免用户输入经拼接后触发命令注入，必须剥离所有shell特殊字符（如分号、管道符、反引号、$()等），并对传入参数进行正则白名单匹配，仅允许ASCII字母、数字、下划线、连字符及指定分隔符。
1、在PHP中定义安全参数过滤函数：function sanitize_python_arg($input) { return preg_replace('/[^a-zA-Z0-9_\-\.\/]+/', '', $input); }
2、对每个参数单独过滤：$url = sanitize_python_arg($_GET['target_url']);
3、构造绝对路径调用：$script_path = '/var/www/php-python-scripts/spider.py';
4、拼接命令时仅使用过滤后变量：$cmd = escapeshellarg('/usr/bin/python3') . ' ' . escapeshellarg($script_path) . ' ' . escapeshellarg($url);
三、使用proc_open替代exec实现资源与超时控制
exec函数无法限制内存占用与执行时间，易被异常脚本拖垮Web服务；proc_open支持设定最大执行时间、标准流重定向及进程终止机制，是更安全的替代方案。
1、定义超时阈值（单位秒）：$timeout = 30;
2、配置proc_open描述符数组：$descriptorspec = [0 => ['pipe', 'r'], 1 => ['pipe', 'w'], 2 => ['pipe', 'w']];
3、启动受控子进程：$process = proc_open('/usr/bin/python3 /var/www/php-python-scripts/spider.py ' . escapeshellarg($url), $descriptorspec, $pipes);
4、设置超时监控并读取输出：stream_set_timeout($pipes[1], $timeout); $output = stream_get_contents($pipes[1]); fclose($pipes[1]); proc_close($process);
四、Python脚本端强制启用沙箱模式与输入验证
仅靠PHP层防护不足，Python脚本自身须拒绝任意模块导入、禁用eval/exec、校验输入格式，并主动退出非授权上下文，形成双向防御。
1、在spider.py开头添加模块白名单检查：import sys; allowed_modules = {'sys', 'json', 're', 'time', 'urllib.request', 'urllib.parse'}; for mod in list(sys.modules.keys()): if mod not in allowed_modules: del sys.modules[mod]
2、禁用危险内置函数：del __builtins__['eval']; del __builtins__['exec']; del __builtins__['compile']
3、对传入URL执行结构校验：import re; if not re.match(r'^https?://[^\s]+$', sys.argv[1]): raise SystemExit('Invalid URL format')
4、限制网络请求域名范围：from urllib.parse import urlparse; domain = urlparse(sys.argv[1]).netloc; if domain not in ['example.com', 'api.example.org']: raise SystemExit('Domain not allowed')
五、重定向标准错误流并记录结构化日志
Python脚本异常崩溃时，错误信息若未捕获将丢失，导致问题难以复现；应统一捕获stderr，将其与PHP调用上下文合并写入结构化日志文件，便于审计与回溯。
1、在PHP中打开日志文件句柄：$log_file = fopen('/var/log/php-python-calls.log', 'a');
2、获取当前时间戳与请求标识：$timestamp = date('c'); $request_id = uniqid('pycall_');
3、将proc_open的stderr重定向至日志：stream_copy_to_stream($pipes[2], $log_file); fclose($pipes[2]);
4、写入调用元信息：fwrite($log_file, sprintf("[%s][%s] CMD: %s\n", $timestamp, $request_id, $cmd)); fflush($log_file); fclose($log_file);
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
