PHP不能直接读取TPM 2.0状态，必须通过shell_exec调用tpm2-tools命令（如tpm2_getcap）间接实现，且需确保系统启用TPM、内核支持、权限正确及芯片已激活。
PHP 能否直接读取 TPM 2.0 状态
不能。PHP 本身没有内置函数访问硬件安全模块，tpm2_getcap、tpm2_checkquote 这类操作必须通过系统命令或 C 扩展间接完成。
常见错误现象是试图用 file_get_contents('/dev/tpm0') 或 stream_socket_client('tpm://') ——这些路径不存在，PHP 不提供 TPM 协议抽象层。
可行路径只有两条：调用 Linux 系统命令（需提前安装 tpm2-tools），或使用已编译的 tpm2-pkcs11 + 自定义扩展（极少见且维护成本高）。
用 shell_exec 检测 TPM 2.0 是否就绪
这是最实用、最低门槛的方式，前提是 PHP 运行用户有权限执行 tpm2_getcap，且系统已启用并激活 TPM。
立即学习“PHP免费学习笔记（深入）”；
- 先确认命令可用：
which tpm2_getcap，若返回空，需apt install tpm2-tools（Debian/Ubuntu）或yum install tpm2-tools（RHEL/CentOS） - 检查是否启用：
shell_exec('tpm2_getcap -v 2>&1')，成功时输出版本号；失败时常见错误信息如Failed to connect to /dev/tpmrm0: No such file or directory，说明内核未加载tpm_rm模块或 BIOS 中未开启 TPM - 验证是否激活：
shell_exec('tpm2_getcap properties-fixed 2>&1')，若返回含TPM2_PT_FIXED_PROPERTY的 JSON，则说明芯片在线且可通信
PHP 中解析 tpm2_getcap 输出的坑
tpm2_getcap 默认输出为 JSON，但某些旧版本（如 4.2 之前）默认输出为纯文本，且无统一退出码语义——不能只靠 === 0 判断成功。
实操建议：
- 强制指定 JSON 输出：
tpm2_getcap --format json properties-fixed，避免解析歧义 - 始终捕获 stderr：
2>&1，因为关键错误（如设备忙、权限拒绝）都走 stderr - 不要用
json_decode($output, true)直接信任结果，先检查$output是否为空或含error字样（如"ERROR: Failed to initialize tcti context"） - 注意 SELinux 或 systemd-sandbox 限制：即使命令行能跑，PHP 的
www-data用户可能被阻止访问/dev/tpmrm0，需手动加规则
绕过 TPM 检测的典型误判场景
很多开发者把「能执行命令」等同于「TPM 可用于密钥生成」，这是危险的简化。
真实限制点在于：
- BIOS 设置中 TPM 处于「Disabled」或「Hidden」状态 →
tpm2_getcap报No such file or directory - TPM 已启用但未激活（Ownership not taken）→ 命令可运行，但
tpm2_createprimary会失败 - Linux 内核未启用
CONFIG_TCG_TPM或CONFIG_TCG_TPM2→/dev/tpmrm0根本不会创建 - 容器环境未挂载
/dev/tpmrm0或未加--cap-add=SYS_ADMIN→ 权限不足而非硬件问题
真正要确认的是“能否完成一次端到端签名”，而不是“能不能看到 TPM 版本”。这点容易被忽略，尤其在 CI/CD 或云主机场景下——你看到的“就绪”，可能只是驱动加载了，离实际可用还差三步。
