安全运行未知PHP代码需采用隔离环境：一、Docker容器沙箱，限制网络、文件系统与权限；二、PHP CLI受限模式，禁用危险函数并关闭远程访问；三、Firejail系统调用级拦截，屏蔽/proc、/sys及网络；四、可信在线沙箱服务，设超时、内存上限并自动清理。
如果您需要测试或分析一段来源不明的PHP代码，直接在生产环境或本地服务器上执行可能带来严重安全风险。以下是几种在隔离环境中安全运行未知PHP代码的方法：
一、使用Docker容器创建临时沙箱环境
Docker可提供轻量级、进程级隔离，确保PHP代码无法访问宿主机文件系统、网络或其他资源。通过限制权限和资源配额，能有效遏制恶意行为。
1、安装Docker Desktop或Docker Engine（根据操作系统选择对应版本）。
2、创建最小化PHP运行目录，例如新建php-sandbox文件夹，并在其中放入待测的test.php文件。
立即学习“PHP免费学习笔记（深入）”；
3、在该目录下新建Dockerfile，内容为：
FROM php:8.2-cli-alpine<br>COPY test.php /app/test.php<br>WORKDIR /app<br>CMD ["php", "test.php"]
4、执行命令构建并立即运行一次性的隔离容器：docker build -t php-sandbox . && docker run --rm --network none --read-only -v $(pwd):/app:ro php-sandbox
5、确认输出后，容器自动销毁，所有写入操作被禁止，网络完全禁用，挂载为只读。
二、启用PHP内置SAPI的受限模式
PHP CLI自带-n（不加载php.ini）、-d（覆盖配置项）参数，可关闭危险函数与外部交互能力，形成内存级隔离。
1、检查目标PHP二进制路径，例如/usr/bin/php或php --ini确认配置位置。
2、执行以下命令启动无扩展、无配置、功能阉割的PHP解释器：php -n -d disable_functions="exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec" -d allow_url_fopen=Off -d allow_url_include=Off -d open_basedir=/tmp:/var/tmp test.php
3、将待测代码保存为test.php，确保其仅使用基础语法与内置数学/字符串函数。
4、运行后观察标准输出与错误信息，任何试图调用禁用函数的操作将直接报错终止，且无法读取/写入指定路径以外的文件。
三、利用Firejail沙箱限制系统调用
Firejail是基于Linux命名空间与seccomp-bpf的强制访问控制工具，可在用户态拦截危险系统调用，比chroot更细粒度、比容器更轻量。
1、在Ubuntu/Debian系统中安装： sudo apt install firejail；在CentOS/RHEL中： sudo yum install firejail。
2、创建专用执行目录/tmp/php-test，仅放入test.php与最小依赖文件。
3、运行命令启动受限沙箱：firejail --private=/tmp/php-test --no3d --nodvd --noprograms --net=none --seccomp --caps.drop=all --blacklist=/proc --blacklist=/sys php test.php
4、验证沙箱状态：执行过程中无法访问/proc与/sys，所有网络接口被屏蔽，图形与设备驱动被禁用，且无任何Linux能力位授权。
四、借助在线PHP沙箱服务进行远程隔离
部分开源可部署的Web端PHP沙箱（如phpsandbox、php-code-executor）支持HTTP API调用，适用于无法本地搭建环境的场景，但需注意代码上传风险。
1、从GitHub克隆可信项目，例如git clone https://github.com/hoaproject/Compiler.git（仅作语法解析）或部署phpsandbox的Docker版。
2、修改其配置文件，设置超时为5s、内存上限为32M、禁用extension_dir与include_path。
3、启动服务后，通过curl提交代码：curl -X POST http://localhost:8080/execute -H "Content-Type: application/json" -d '{"code":"<?php echo \"hello\"; ?>"}'
4、接收JSON响应中的stdout字段，服务端自动清理执行上下文，不保留任何会话或临时文件，且未启用任何PHP扩展模块。
