禁用 system() 函数是为防范远程命令执行风险，正确做法是使用 php 原生替代方案（如 file_get_contents、ziparchive）、申请合规白名单或改用未被禁的函数（如 proc_open），严禁生产环境绕过或尝试动态调用等危险行为。

`system()` 函数被禁用，通常是因为 PHP 配置中设置了 `disable_functions = system,exec,shell_exec,passthru,proc_open,pcntl_exec` 等，目的是防止远程命令执行（RCE）风险。**绕过禁用函数不是推荐做法，也不应作为开发或运维的常规手段**——它违背安全原则，可能触发更严格的安全策略（如 Suhosin、open_basedir、seccomp），甚至违反合规要求。 如果你是开发者或管理员，真正该做的是：

明确禁用原因并走合规路径

多数生产环境禁用 `system()` 是因安全审计或云平台限制（如阿里云函数计算、腾讯云 SCF、Docker 容器默认配置）。此时应：

• 确认是否真需要执行系统命令——多数场景可用纯 PHP 实现（如文件操作用 file_get_contents()、scandir()；JSON 处理用 json_encode()）
• 若必须调用外部程序（如 FFmpeg、ImageMagick），改用已启用的替代函数，例如：
    • exec() 虽常被禁，但有时 escapeshellarg() + shell_exec()（若未被禁）可组合使用（仍需白名单校验）
    • 更稳妥的是用 proc_open()（若未被禁）并严格控制 stdin/stdout/stderr 流
• 联系运维或云平台支持，申请临时开通（附明确定义的命令白名单和调用上下文）

调试阶段可临时调整配置（仅限本地/测试环境）

开发时如需验证逻辑，可在自己的 php.ini 中修改：

• 找到 disable_functions 行，删掉 system（注意逗号分隔格式，别破坏其他函数）
• 重启 Web 服务（Apache/Nginx + PHP-FPM）
• 用 phpinfo() 或 ini_get('disable_functions') 确认生效

切勿在生产环境这么做——配置错误可能导致整个站点被接管。

TP5实战_教学管理系统整站源码

本套教程,以一个真实的学校教学管理系统为案例,手把手教会您如何在一张白纸上,从零开始,一步一步的用ThinkPHP5框架快速开发出一个商业项目,让您快速入门TP5项目开发。

下载

替代方案：不依赖 shell 的等效实现

很多看似“必须用 system”的需求，其实有更安全的原生方案：

• 获取服务器信息：用 php_uname()、gethostname()、memory_get_usage() 替代 system('uname -a')
• 压缩/解压文件：用 ZipArchive 类或 Phar 扩展，而非 system('tar -czf...')
• 发送 HTTP 请求：用 cURL 或 file_get_contents()（配合 stream_context），而非 system('curl ...')
• 定时任务：用 Linux cron 或 Windows Task Scheduler 触发独立 PHP 脚本，而非在 Web 请求中 `system('php script.php &')`

安全红线：不要尝试“绕过”

所谓“绕过”，比如：

• 用反引号 `ls`（等价于 shell_exec）——同样被 disable_functions 拦截
• 动态拼接函数名：$func = 's'.'y'.'s'.'t'.'e'.'m'; $func('id'); ——PHP 会识别为函数调用，仍被禁
• 利用第三方扩展（如 imap_open 的漏洞、exif_thumbnail 的内存越界）——属高危漏洞利用，违法且不可控

这些行为一旦被 WAF、IDS 或日志审计捕获，会立即触发告警甚至封禁 IP。真正的健壮设计，是让代码不依赖任何被禁函数。

不复杂但容易忽略：安全不是功能障碍，而是架构前提。