如何用PHP的escapeshellarg安全执行外部shell命令？

本文共计1184个文字，预计阅读时间需要5分钟。

直接结论：

escapeshellarg() 到底保护什么

它只对传入的单个字符串做两件事：加单引号包裹 + 把内部所有单引号转义为 \'。结果是让这个字符串在 shell 中被当作「一个不可分割的字面量」处理，无法触发分号、管道、反引号等命令分隔行为。

常见错误现象：

• 用户传 test.txt; rm -rf /，没过滤时会执行两条命令；加了 escapeshellarg() 后变成 'test.txt; rm -rf /'，shell 就真把它当文件名了
• 含空格路径如 my file.jpg，不加 escapeshellarg() 会被拆成两个参数，导致命令报错或行为异常

使用场景：适用于所有需要把用户输入作为「单个参数」传给命令的场合，比如文件名、用户名、ID 字符串。

立即学习“PHP免费学习笔记（深入）”；

注意：escapeshellarg() 不处理命令本身（如 ls、convert），也不防路径穿越（../../etc/passwd），更不解决权限失控问题。

为什么不能只靠 escapeshellarg() 拼接完整命令

因为 shell 解析顺序是「先分词，再执行」，而 escapeshellarg() 只管单个词的边界，不管多个词之间的逻辑关系。一旦你用 . 拼接多个 escapeshellarg() 结果，中间的空格、符号仍可能被 shell 当作操作符解析。

例如这段代码依然危险：

exec('convert ' . escapeshellarg($input) . ' -resize 500x500 ' . escapeshellarg($output));

问题出在 -resize 前后都是空格，如果 $input 是 image.jpg -profile /etc/shadow（合法文件名），那整个命令就变成：

convert 'image.jpg -profile /etc/shadow' -resize 500x500 'out.jpg'

ImageMagick 会照单全收并读取敏感文件。

正确做法包括：

• 对 $input 额外用 basename() 提取纯文件名，杜绝路径穿越
• 用白名单限制允许的后缀，比如 preg_match('/\.(jpg|png|gif)$/i', $input)
• 若命令支持，优先改用数组形式调用（passthru() 支持，exec() 不支持）

escapeshellarg() 和 escapeshellcmd() 的关键区别

这两个函数常被混用，但作用对象完全不同：

• escapeshellarg()：输入是「一个参数值」，输出是「带引号的安全参数」，适合变量插在命令中间，如 ls -l <here>
• escapeshellcmd()：输入是「整条命令字符串」，输出是「所有危险字符被反斜杠转义的命令」，适合拼接完的完整命令，如 ls -l *.txt | head -n1

但要注意：escapeshellcmd() 不会处理参数内部的特殊含义，比如 $(id) 或 `id` 在引号内仍可能被执行（取决于 shell 模式），且它不加引号，所以对含空格参数无效。

典型误用：

$cmd = "ls -l " . $_GET['dir']; // 危险拼接 exec(escapeshellcmd($cmd)); // 错！$cmd 里已有未过滤变量，转义晚了

正确顺序永远是：先校验 → 再 escapeshellarg() → 最后拼接 → （可选）escapeshellcmd() 仅用于兜底整条命令（不推荐依赖）。

真正安全的执行流程长什么样

没有银弹，只有层层设防。一个最小可行的安全链是：

• 检查是否必须用 shell：能用 file_get_contents() 就别用 shell_exec('cat')；能用 getimagesize() 就别调 identify
• 输入强校验：用 filter_var()、ctype_alnum() 或正则限定字符集；路径类变量必过 basename()
• 参数隔离：每个用户输入都单独套一层 escapeshellarg()
• 命令白名单：只允许执行预定义的几个脚本路径，如 $scripts = ['resize' => '/usr/local/bin/img-resize.sh']
• 系统加固：PHP 进程用低权限用户运行；必要时在 php.ini 中禁用 exec,system,passthru,shell_exec

最容易被忽略的一点：escapeshellarg() 对空字符串、null、布尔值等非字符串输入会返回空字符串或触发警告，必须在调用前确保类型是 string —— 很多线上漏洞就出在这里。