symfony命令安全加固需严格校验参数、禁用危险函数、实施权限最小化、加强日志审计；所有用户输入须白名单过滤，禁止拼接执行，敏感操作需交互确认与角色限制，并统一记录与告警异常行为。
Symfony 命令（Console Commands）是开发者日常运维、数据迁移、定时任务等场景的核心工具，但若配置或实现不当，极易成为攻击入口——比如通过参数注入执行任意系统命令、读取敏感文件、触发未授权服务调用，甚至配合其他漏洞实现远程代码执行（RCE）。加固关键不在“禁用命令”，而在于控制输入来源、限制执行上下文、隔离敏感操作。
严格校验命令参数与选项
所有用户可控的输入（`$input->getArgument()` / `getOption()`）都必须视为不可信。不能直接拼接进 shell 命令、SQL 查询、文件路径或 eval 类逻辑中。
- 对字符串参数使用白名单正则匹配，例如语言代码只允许 ^[a-z]{2}(-[A-Z]{2})?$；环境名只限 prod|staging|dev
- 数值类参数强制类型转换并设范围，如 intval($input->getOption('limit')) 后再检查是否在 1–1000 之间
- 禁用自由文本参数用于路径构造，改用预定义别名映射：例如 --target=backup 对应 /var/backups/app，而非接收任意路径
禁止危险函数与系统调用直连
Symfony 命令运行在 PHP 进程中，但常需调用外部工具（exec、shell_exec、proc_open）。这些函数是注入高危区。
- 完全避免拼接用户输入到命令字符串中，例如不要写：exec("rm -rf $path")；改用 Process 组件并显式传参：$process = new Process(['rm', '-rf', $sanitizedPath])
- 禁用 eval、create_function、unserialize（除非配合 allowed_classes 白名单）
- 生产环境禁用 disable_functions 中未屏蔽的危险函数，PHP 配置建议加入：disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec
权限最小化与执行上下文隔离
命令默认以 Web 服务器用户（如 www-data）或部署用户身份运行，若该用户权限过高，一次命令失守即导致全线沦陷。
- 为不同命令分配专用低权限系统用户，例如 symfony-import 用户仅可读 /var/import/、写日志，无数据库或 SSH 权限
- 敏感命令（如 doctrine:database:drop、cache:clear --env=prod）启用交互确认（$input->isInteractive()）且仅限特定角色调用
- 避免在命令中硬编码凭证；使用 Symfony 的 Secrets Vault 或环境变量注入，并确保 .env.local 不被命令输出或日志泄露
日志审计与异常拦截
命令执行行为是安全事件的重要线索。未记录、不告警、不拦截的异常命令，等于给攻击者提供静默操作通道。
- 所有命令执行前记录：命令名、调用用户（OS 用户 + Symfony 用户 ID）、参数摘要（脱敏）、时间戳、IP（如适用）
- 捕获未处理异常和退出码非 0 的情况，通过 Monolog 推送至集中日志系统（如 ELK），并配置告警规则（例如 5 分钟内同一用户连续失败 3 次）
- 在 Kernel::boot() 或命令基类中统一注册 register_shutdown_function，兜底检测异常终止或内存溢出场景
