PHP 如何防止命令注入

平时我们在做网站或者小程序开发时，偶尔会遇到需要调用系统命令的场景，比如批量处理上传的文件、自动生成缩略图。但如果处理不当，很容易被恶意用户钻空子，造成数据泄露甚至服务器被控制，这就是命令注入漏洞。很多用PHP做开发的朋友，对这个漏洞的防范总觉得有点模糊，其实只要掌握几个实用的小方法，就能把风险降到最低。

先搞懂：命令注入是怎么钻空子的

举个生活化的例子，假设你做了一个文件上传工具，允许用户输入要处理的文件名，然后用PHP执行系统命令convert 文件名.jpg来生成缩略图。正常用户输入风景照，程序就会执行convert 风景照.jpg，没问题。但恶意用户会输入风景照.jpg; rm -rf /，这时候程序会把输入拼接成convert 风景照.jpg; rm -rf /，服务器会先执行生成缩略图的命令，再执行删除整个服务器文件的命令，这就是命令注入。简单说，就是用户输入的内容被当成了系统命令的一部分，做了不该做的事。

最基础的防线：别直接用用户输入拼接命令

很多新手开发图省事，直接把用户输入的字符串拼到exec、system这类函数里，这是命令注入的主要来源。正确的做法是，能不用系统命令就不用，用PHP自带的函数代替。比如要处理图片，不用调用系统的convert，用GD库或Imagick扩展的PHP函数就能实现；要操作文件，用file_get_contents、file_put_contents这些PHP原生函数，既安全又方便。如果一定要用系统命令，绝对不能直接拼接用户输入，必须过滤或转义。

用escapeshellarg和escapeshellcmd，双重保障

如果实在需要调用系统命令，PHP提供了两个专门处理命令的函数，能把用户输入转成安全的格式。escapeshellarg会把整个输入包裹在单引号里，不管输入什么内容，都会被当成一个完整的参数，不会被当成命令分隔符。比如刚才的恶意输入风景照.jpg; rm -rf /，用escapeshellarg处理后会变成'风景照.jpg; rm -rf /'，系统只会把它当成一个文件名，不会执行后面的删除命令。

而escapeshellcmd会转义命令里的特殊字符，比如分号、&、|这些用来执行多个命令的符号，让它们失去特殊意义。这两个函数最好一起用，先用escapeshellarg处理每个参数，再用escapeshellcmd处理整个命令，双重防护几乎能堵住大部分注入漏洞。

限制命令的执行范围，别给太多权限

就算用了过滤函数，也可以再多加一层限制，降低漏洞的危害。比如在PHP的配置文件php.ini里，把disable_functions里加上exec、system、shell_exec这些执行系统命令的函数，如果不是必须用，干脆直接禁用，从根源上避免调用危险命令。如果确实需要用，就给PHP运行的用户设置最小权限，不要用root或管理员权限，这样就算被注入，也只能操作当前用户权限范围内的文件，不会影响整个服务器。

最后再提醒一句，命令注入的核心是“信任用户输入”，不管是文件名、参数还是其他内容，只要是用户能控制的，都不能直接当成命令的一部分。多花一点时间做过滤和限制，就能避免很多不必要的安全问题，让网站运行得更稳定。