问题现象描述
在windows开发环境中，开发者可能需要通过php脚本执行仅在linux上运行的程序，而wsl提供了在windows上运行linux环境的能力。通常情况下，直接在windows的cmd.exe命令行中执行wsl命令是成功的，例如：
C:\wsl echo "foo" foo
然而，当尝试通过PHP的exec函数执行相同的命令时，却会遇到问题：命令无法正常执行，$out数组为空，并且$code返回一个非零错误码（例如-1073740791）。
以下是PHP代码示例及其输出：
// $out is [] // $code is -1073740791
这表明PHP环境下的命令执行与命令行环境存在根本差异。
根本原因分析
经过深入分析，导致此问题的核心原因是运行Web服务器（例如WAMP套件中的Apache wampapache64服务）所使用的用户账户权限配置不当。如果Web服务器服务被配置为以NT Authority\SYSTEM（又称Local System或LocalSystem）账户运行，那么PHP通过exec函数调用WSL命令将失败。
立即学习“PHP免费学习笔记（深入）”；
1. SYSTEM账户的局限性
NT Authority\SYSTEM账户是Windows操作系统中权限最高的内置账户之一。然而，尽管其权限极高，但它在某些特定操作上存在限制。具体到WSL，Microsoft明确指出WSL不支持在Local System账户下运行。当一个进程以SYSTEM账户运行时，它无法通过Win32 API的CreateProcess函数来成功启动WSL进程。
2. PHP exec函数的实现机制
PHP的exec函数并非简单地调用C语言的system()函数。在Windows平台上，exec函数最终会通过一系列内部调用（VCWD_POPEN -> popen_ex -> CreateProcessAsUserW 或 CreateProcessW）来创建新进程。popen_ex函数在创建新进程时，会尝试继承或使用与父进程相同的用户账户和权限。因此，如果PHP脚本是由以SYSTEM账户运行的Web服务器进程启动的，那么exec尝试创建的WSL进程也会继承这个SYSTEM账户上下文，从而触发WSL不支持在该账户下运行的限制。
3. 安全风险提示
将Web服务器配置为以NT Authority\SYSTEM账户运行，除了会导致WSL调用失败外，更是一个非常严重的安全隐患。Web服务器通常处理来自外部网络的请求，如果存在文件上传漏洞、输入验证不当或PHP代码中存在其他安全缺陷，恶意攻击者可能利用这些漏洞以SYSTEM账户的权限在服务器上执行任意操作，从而完全控制整个计算机系统。这远超出了Web服务器所需的最小权限，极易造成灾难性后果。
解决方案
解决此问题的关键在于更改Web服务器服务的运行账户，使其不再以NT Authority\SYSTEM账户运行，而是使用一个具有适当权限的普通用户账户。
步骤示例（以Apache服务为例）：
- 打开服务管理器： 在Windows搜索栏中输入services.msc并打开“服务”应用程序。
- 定位Web服务器服务： 找到你的Web服务器服务，例如WAMP套件中的wampapache64或独立的Apache服务。
- 修改服务属性： 右键点击该服务，选择“属性”。
- 切换到“登录”选项卡： 在服务属性窗口中，选择“登录”选项卡。
-
更改登录账户：
- 默认情况下，如果存在问题，你可能会看到“本地系统账户”被选中。
- 选择“此账户”，然后点击“浏览”按钮。
- 在弹出的“选择用户”窗口中，输入一个你希望服务运行的普通用户账户名称（例如，你的Windows登录账户，或专门为Web服务创建的低权限账户），然后点击“检查名称”进行验证。
- 点击“确定”，然后输入该账户的密码两次。
- 应用并重启服务： 点击“应用”和“确定”保存更改。然后，右键点击Web服务器服务，选择“重新启动”。
注意事项：
- 选择合适的账户： 建议创建一个专门用于运行Web服务的新用户账户，并为其分配最小必需的权限。避免使用管理员账户或你日常使用的账户。
- 权限管理： 确保新账户对Web服务器的安装目录、PHP脚本目录、日志文件目录以及任何需要读写操作的目录具有相应的读写权限。
- IIS服务： 如果你使用的是IIS，其应用程序池通常以ApplicationPoolIdentity运行，这通常是安全的。但如果遇到类似问题，可以检查应用程序池的“进程模型”下的“标识”设置。
验证解决方案
在Web服务器服务账户更改并重启后，再次运行之前的PHP代码：
此时，$out数组应该包含foo字符串，而$code应该返回0（表示成功），表明WSL命令已成功从PHP中执行并捕获到输出。
总结
当PHP在Windows上通过exec调用WSL命令失败时，核心问题通常是Web服务器服务以NT Authority\SYSTEM账户运行，而WSL不支持在该账户下执行。解决方案是配置Web服务器服务以一个普通用户账户运行。此举不仅能解决WSL调用问题，更能显著提升Web服务器的安全性，遵循最小权限原则，有效防范潜在的安全风险。务必确保Web服务器始终运行在具有适当且最小权限的用户账户下。
