答案：PHP中执行系统命令需谨慎使用exec、shell_exec、system和passthru函数，分别适用于获取输出、完整捕获、实时显示和二进制数据传输场景；为保障安全，应禁用高危函数、限制目录访问、过滤用户输入，并采用参数转义与白名单机制防范命令注入风险。
如果您需要在PHP脚本中执行操作系统级别的命令，例如读取文件、启动进程或管理系统服务，则可以使用内置函数调用shell命令。这类操作虽然强大，但也伴随着安全风险，特别是在处理用户输入时。以下是实现和保障安全的具体方法。
本文运行环境：Dell XPS 13，Ubuntu 22.04
一、使用exec函数执行系统命令
exec函数用于执行一个外部程序，并返回最后一行输出结果。它适合需要获取命令输出的场景，但不会实时显示执行过程。
1、在PHP代码中调用exec("ls -la /var/www")来列出指定目录内容。
立即学习“PHP免费学习笔记（深入）”；
2、将输出结果存储到变量中：exec("command", $output, $return_var)，其中$output为输出数组，$return_var为返回状态码。
3、检查$return_var是否为0，以确认命令是否成功执行。
二、利用shell_exec获取命令完整输出
shell_exec函数执行命令并返回完整的输出字符串，常用于需要捕获全部输出信息的场景。
1、使用$result = shell_exec('pwd');获取当前工作目录路径。
2、注意该函数不接受输出流参数，仅返回标准输出内容，错误信息不会被捕获。
3、若需调试，可将命令重定向错误输出，如shell_exec('command 2>&1')。
三、通过system函数直接输出执行结果
system函数执行命令并将输出直接发送到浏览器或终端，适用于需要实时查看结果的情况。
1、调用system("whoami")可立即打印当前运行PHP的系统用户。
2、该函数会阻塞脚本直到命令完成，因此不适合长时间运行的任务。
3、可结合第二个参数接收命令退出状态，用于判断执行成败。
四、使用passthru传递原始二进制数据
当命令输出的是图像、音频等二进制数据时，应使用passthru函数以避免编码问题。
1、例如生成图片预览时，执行passthru("convert input.jpg -resize 100x100 png:-")直接输出PNG流。
2、确保Content-Type头已正确设置，以便客户端正确解析响应内容。
3、此函数不会对输出做任何处理，适合需要保持数据完整性的场景。
五、启用安全模式与限制命令范围
为防止恶意命令执行，应严格控制可执行的命令种类和权限范围。
1、在php.ini中设置disable_functions=exec,system,passthru,shell_exec禁用高危函数（按需开启）。
2、使用safe_mode（已废弃）或open_basedir限制脚本访问特定目录。
3、创建白名单机制，只允许预定义的命令被执行，拒绝包含分号、管道符等特殊字符的输入。
六、过滤用户输入防止命令注入
用户提供的参数若未经验证直接拼接到命令中，极易导致命令注入漏洞。
1、使用escapeshellarg()对单个参数进行转义，确保其作为单一字符串传递。
2、使用escapeshellcmd()对整个命令路径进行过滤，防止执行未授权程序。
3、避免动态拼接命令字符串，优先采用固定命令搭配安全转义后的参数方式。
