将 python 脚本移出 web 可访问目录（如 `/var/www/html` 或 `public_html`），存放于 apache 无法通过 url 直接访问的服务器路径（如 `/opt/scripts/` 或 `/usr/local/bin/`），即可确保 php 通过 `exec()` 正常调用，同时彻底杜绝浏览器直接读取源码的风险。
在典型的 LAMP（Linux + Apache + MySQL + PHP）环境中，一个常见误区是将所有后端脚本（包括 Python）放在网站根目录下（例如 htdocs/scripts/myscript.py），以便 PHP 调用。但此举会带来严重安全隐患：只要用户知道路径（如 https://example.com/scripts/myscript.py），Apache 默认会以纯文本方式返回 .py 源码（除非显式配置了 AddHandler 或 SetHandler），导致敏感逻辑、API 密钥、数据库凭证等完全暴露。
根本解法：物理隔离，而非权限博弈
正如答案所指出，关键在于理解执行上下文——PHP 的 exec() 是由 Apache 子进程以系统用户（如 www-data 或 apache）身份在服务器本地执行的，它不依赖脚本是否“可被 Web 访问”，而只依赖：
- 脚本文件具有可执行权限（chmod +x /opt/scripts/myscript.py）；
- 执行用户（如 www-data）对该脚本及其所在目录有读取和执行权限；
- 脚本路径在 PHP 命令中被正确指定。
✅ 推荐部署结构示例：
# 创建非 Web 可访问的脚本目录（需 root 权限） sudo mkdir -p /opt/myapp/scripts sudo chown www-data:www-data /opt/myapp/scripts sudo chmod 755 /opt/myapp/scripts # 放置并授权脚本 sudo cp /tmp/myscript.py /opt/myapp/scripts/ sudo chown www-data:www-data /opt/myapp/scripts/myscript.py sudo chmod 755 /opt/myapp/scripts/myscript.py
✅ PHP 调用方式优化（避免后台静默丢失错误）：
Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...
<?php
$cmd = '/usr/bin/python3 /opt/myapp/scripts/myscript.py --arg1=value1 2>&1';
$output = [];
$returnCode = 0;
exec($cmd, $output, $returnCode);
if ($returnCode !== 0) {
error_log("Python script failed with code {$returnCode}: " . implode("\n", $output));
// 返回友好提示或降级处理
} else {
$result = implode("\n", $output);
echo json_encode(['status' => 'success', 'data' => $result]);
}
?>⚠️ 注意事项：
立即学习“Python免费学习笔记（深入）”；
-
切勿使用 .htaccess 或
阻止访问来“补救” ：这类配置作用于 HTTP 请求层，无法解决根源问题，且易与 CGI/FCGI 执行逻辑冲突； - 避免混淆“执行权”与“读取权”：exec() 需要读取脚本内容才能解析并运行（尤其对解释型语言），因此 chmod -r 会导致执行失败——正确做法是让 Apache 用户能读+执行，但该路径不在 DocumentRoot 下；
- 禁用危险函数（可选加固）：若脚本无需动态构造命令，可在 php.ini 中禁用 exec, shell_exec 等函数，改用更安全的 proc_open() 并严格约束环境；
- Python 脚本自身防护：添加 #!/usr/bin/env python3 头，使用 if __name__ == "__main__": 入口保护；敏感参数应通过环境变量或配置文件（同样置于非 Web 目录）注入，而非硬编码。
总结：安全不是靠隐藏或混淆，而是靠架构设计。将执行逻辑与 Web 资源严格分离，既符合最小权限原则，又无需复杂权限调试或代码混淆（后者反而降低可维护性与安全性），是最简洁、可靠、符合运维最佳实践的解决方案。
