PHP8怎么安全拼接ffmpeg命令防止注入-php教程-PHP中文网

php 8 中安全执行 ffmpeg 的核心是禁用字符串拼接，改用 proc_open 配合参数数组；用户输入须先白名单校验再 escapeshellarg；禁用危险选项，最小化权限与攻击面。

php8怎么安全拼接ffmpeg命令防止注入

PHP 8 中安全拼接 FFmpeg 命令，核心不是“拼接”，而是**完全避免字符串拼接**。直接用变量插进命令字符串（如 "ffmpeg -i {$input} -y {$output}"）是高危操作，哪怕用了 escapeshellarg()，在复杂场景下仍可能被绕过或遗漏边界情况。

严格使用数组传参 + proc_open

PHP 8 推荐用 proc_open() 配合参数数组执行命令，系统自动处理参数分隔与转义，从根本上杜绝注入可能：

把每个 FFmpeg 参数作为独立数组元素，不拼成字符串
路径、文件名等用户输入必须经 escapeshellarg() 单独包裹后再入数组
固定参数（如 '-c:v', 'libx264'）可直接写死，无需转义

示例：

（注意：所有用户可控值都单独转义）

$input = $_POST['video_path'] ?? '';
$output = '/tmp/converted.mp4';

// ✅ 安全：参数拆成数组，每个值独立处理
$cmd = [
  '/usr/bin/ffmpeg',
  '-i', escapeshellarg($input),
  '-c:v', 'libx264',
  '-c:a', 'aac',
  '-y', escapeshellarg($output)
];

$descriptors = [
  0 => ['pipe', 'r'],
  1 => ['pipe', 'w'],
  2 => ['pipe', 'w']
];

$process = proc_open($cmd, $descriptors, $pipes);

输入验证比转义更重要

仅靠 escapeshellarg() 不够，它防不住逻辑型攻击（比如传入 /etc/passwd 或 ../config.php）。必须叠加白名单校验：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

限制输入路径范围：只允许上传目录下的相对路径，禁止 ..、/ 开头、通配符
检查文件扩展名与 MIME 类型（用 ffprobe 或 finfo_file()），拒绝非视频类型
对路径做规范化：realpath() + 检查是否落在允许根目录内

例如：

$allowed_root = '/var/www/uploads/';
$real_input = realpath($input);
if (!$real_input || strpos($real_input, $allowed_root) !== 0) {
    throw new InvalidArgumentException('Invalid video path');
}