堵住php命令执行漏洞的关键是从源头切断攻击链路：优先用php原生函数替代危险函数；必须调用时，严格白名单校验、escapeshellarg()转义并二次过滤非法符号；最后通过php.ini禁用高危函数、最小权限运行及web服务器配置实现纵深防御。
堵住PHP命令执行漏洞，关键不是“加一层防护”，而是从源头切断攻击链路——不让用户输入有机会进入危险函数。核心思路是：能不用就不用，必须用就严控输入，实在控制不住就禁用函数。
彻底避免调用危险函数
很多命令执行场景其实根本不需要调用system()、exec()这类函数。比如： - 获取文件大小 → 用 `filesize()` 而不是 `shell_exec("ls -l $file | awk '{print $5}'")` - 检查端口是否开放 → 用 `fsockopen()` 而不是 `exec("telnet $host $port")` - 压缩文件 → 用 PHP 的 `ZipArchive` 类，而非 `shell_exec("zip -r archive.zip dir/")`真正需要调用系统命令的业务极少。优先用PHP原生函数替代，是最安全、最省心的做法。
必须调用时，严格过滤+转义+白名单
如果确实绕不开（如调用ImageMagick处理图片、调用ffmpeg转码），请按顺序做三件事： - **白名单限定动作**：只允许几个预设操作，比如 `'resize'`、`'convert'`、`'watermark'`，用 `in_array()` 校验，拒绝任何其他值 - **参数单独转义**：对每个用户可控参数，用 `escapeshellarg()` 包裹（注意：不是 `escapeshellcmd()`，后者不安全） - **拼接前再校验**：即使用了 `escapeshellarg()`，也要检查最终命令字符串是否含非法符号，如 `;`、`|`、`&&`、`$()`、反引号等示例：
$action = $_GET['action'] ?? '';
if (!in_array($action, ['resize', 'rotate'])) {
die('非法操作');
}
$width = (int)$_GET['w'];
$height = (int)$_GET['h'];
$input = escapeshellarg($_GET['file']);
$cmd = "convert {$input} -resize {$width}x{$height} output.jpg";
// 再次过滤命令中是否混入分隔符
if (preg_match('/[;|&`$()]/', $cmd)) {
die('命令格式异常');
}
shell_exec($cmd);
运行环境层面强制兜底
代码层再严谨，也可能有漏网之鱼。必须配合服务器配置形成纵深防御： - 在 `php.ini` 中禁用全部高危函数： `disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec` - 关闭错误信息外泄：`display_errors = Off`，防止报错暴露路径或配置 - 运行PHP的系统用户权限最小化：不要用 root 或 www-data，新建低权限用户（如 `webcmd`），仅赋予必要目录读写权 - Web服务器（如Nginx）限制脚本目录执行权限：上传目录、日志目录、缓存目录禁止PHP解析定期审计与监控
- 每次上线前，用静态扫描工具（如 PHPStan + 自定义规则）搜索项目中所有 `exec(`、`system(` 等调用点 - 在日志中记录所有命令执行行为（哪怕只是调试用），例如在封装的命令执行函数里加 `error_log("CMD: $cmd", 4)` - 设置告警：当 `disable_functions` 被绕过（如通过动态加载扩展）、或出现非常规命令调用频率突增时触发通知不复杂但容易忽略
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
