实现exec命令日志记录有五种方法：一、调用前手动拼接写入日志文件；二、封装safe_exec函数统一处理；三、用stream_wrapper注册协议拦截；四、通过auditd系统级审计execve调用；五、用proc_open替代并捕获全过程。
如果您的PHP程序中使用exec函数执行系统命令，但缺乏对这些命令的记录机制，则无法追溯历史操作。以下是实现exec命令日志记录的多种方法：
一、在调用exec前手动拼接并写入日志文件
该方法通过在每次调用exec之前，将命令字符串、时间戳、脚本路径等信息格式化后写入指定日志文件，确保所有执行命令均有迹可循。
1、定义日志路径变量，例如$logFile = '/var/log/php_exec.log'；
2、构造日志内容，包含date('Y-m-d H:i:s')、$_SERVER['SCRIPT_FILENAME']、要执行的命令字符串；
立即学习“PHP免费学习笔记（深入）”；
3、使用file_put_contents($logFile, $logEntry.PHP_EOL, FILE_APPEND | LOCK_EX)追加写入；
4、再调用exec($command, $output, $returnCode)执行原命令。
二、封装自定义exec函数替代原生调用
通过创建统一入口函数，在内部完成日志记录与命令执行，避免在业务代码中重复编写日志逻辑，提升一致性与可维护性。
1、定义函数safe_exec($command, &$output = [], &$returnCode = 0, $logPath = '/var/log/php_exec.log')；
2、在函数开头获取当前执行上下文，包括debug_backtrace()中的调用文件和行号；
3、将完整信息按固定格式组装为$logLine，如：[2024-04-05 14:22:03] /path/to/script.php:27 → ls -la；
4、使用error_log($logLine, 3, $logPath)写入日志；
5、调用原生exec($command, $output, $returnCode)并返回其结果。
三、利用stream_wrapper注册自定义协议拦截exec行为
此方法通过扩展PHP流包装器机制，在运行时劫持对exec等函数的底层调用链，适用于需要全局监控且不修改业务代码的场景。
1、实现一个继承自StreamWrapper的类，重写stream_open方法以识别exec相关上下文；
2、在PHP启动阶段调用stream_wrapper_register('execlog', 'ExecLogWrapper')；
3、修改php.ini中disable_functions列表，临时移除exec（仅测试环境），或配合runkit7扩展重写函数指针；
4、在wrapper中触发日志写入，并委托给原生exec执行；
5、注意：该方案需启用runkit7或uopz扩展，且存在安全风险，生产环境慎用。
四、通过Linux auditd系统级审计捕获PHP进程发起的execve调用
该方法脱离PHP代码本身，在操作系统内核层面记录所有由PHP-FPM或CLI进程触发的execve系统调用，提供最底层、不可绕过的命令溯源能力。
1、确认auditd服务已启用并运行：systemctl status auditd；
2、添加规则监控php相关进程：auditctl -a always,exit -F path=/usr/bin/php -F perm=x -k php_exec；
3、同时监控execve系统调用：auditctl -a always,exit -F arch=b64 -S execve -F uid>=500 -k php_commands；
4、使用ausearch -k php_commands --start today | aureport -f -i 查看原始记录；
5、生成的日志位于/var/log/audit/audit.log，需定期轮转并限制磁盘占用。
五、使用proc_open替代exec并重定向stdin/stdout/stderr进行命令捕获
该方法借助proc_open的管道控制能力，在命令执行前即可捕获完整命令行参数，适用于需要同步记录输入输出的精细审计场景。
1、构建$descriptorspec数组，包含stdin、stdout、stderr三个管道；
2、调用$process = proc_open($command, $descriptorspec, $pipes, '/tmp', [])；
3、在proc_open返回前，将$command及getmypid()、posix_getppid()一并写入日志；
4、读取$pipes[1]和$pipes[2]获取执行结果，并在日志中追加返回码与耗时；
5、proc_open返回资源句柄，必须调用proc_close释放，否则导致进程泄漏。
