PHP8.2 passthru函数二进制命令输出怎么配置-php教程-PHP中文网

必须设置 content-type，否则浏览器按 text/html 解析二进制流导致乱码或空白；passthru 原样透传 stdout，不截断不转码，是唯一适合输出图像等二进制数据的执行函数。

php8.2 passthru函数二进制命令输出怎么配置

不设 header 就直接调用 passthru()，浏览器会按 text/html 解析二进制流，结果是乱码、下载失败或显示空白。这不是函数问题，而是 HTTP 协议层面的约定。

常见错误现象：passthru("convert -size 100x100 xc:red png:-") 返回一堆不可读字符，或触发下载弹窗而非内联显示。

图像类命令（如 convert、cat image.png、ffmpeg -i ... -f mp4 -）必须配 header("Content-Type: image/png") 或对应 MIME 类型
音频/视频流需匹配 audio/mpeg、video/mp4 等，不能硬写 image/*
务必在 passthru() 调用前发送 header，且不能有任何输出（包括空格、BOM、echo ""）
若使用 output buffering，需确保 ob_end_clean() 或 ob_flush() 配合得当，否则 header 可能被拦截

PHP 8.0+ 开始，passthru() 对输入参数做显式校验：传入空字符串或含 <p>PHP 8.0+ 开始，<code>passthru() 对输入参数做显式校验：传入空字符串或含 \0 字节时直接抛出 ValueError，不再静默失败。这点在拼接用户输入时极易踩坑。

字节时直接抛出 ValueError，不再静默失败。这点在拼接用户输入时极易踩坑。

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

检查 $command 是否为空：if (!$command) { http_response_code(400); exit; }
过滤 null 字节：$command = str_replace("\0", "", $command)，但更推荐用 escapeshellarg() 包裹参数部分
避免直接拼接用户输入：passthru("convert {$user_input} png:-") 是高危写法；应改为 passthru("convert " . escapeshellarg($user_input) . " png:-")
注意 escapeshellcmd() 和 escapeshellarg() 的区别：前者用于整条命令，后者用于单个带空格/特殊字符的参数

exec() 默认只返回最后一行，system() 会对输出做换行截断和编码转换（比如把 \0 当作字符串终止），而 passthru() 是唯一一个将 stdout 原样透传、不做任何 PHP 层解码或截断的函数。

测试方法：用 hexdump -C 对比 exec("cat test.jpg") 和 passthru("cat test.jpg") 的实际输出字节 —— 前者明显缺失开头若干字节
即使你用 exec($cmd, $out) 收集全部行，PHP 仍会把每行末尾的 \n 当作分隔符处理，且无法保留原始 \0、\r、高位字节
如果命令本身输出非 UTF-8 编码（如 GBK 图片注释、Latin-1 元数据），exec/system 可能触发隐式转换警告或截断

命令是否真能输出二进制流，取决于它本身是否支持“输出到 stdout”模式（通常用 - 或 png:- 表示）。不是所有命令都适用 passthru。

convert input.jpg png:- → header("Content-Type: image/png")
ffmpeg -i video.mp4 -f mp4 - → header("Content-Type: video/mp4")
cat /path/to/file.pdf → header("Content-Type: application/pdf")
gs -sDEVICE=pngalpha -r150 -dNOPAUSE -dBATCH -sOutputFile=- input.ps → header("Content-Type: image/png")
禁止用 ls、date 这类纯文本命令配 passthru + 图像 header —— 浏览器会报解析错误