命令注入漏洞源于用户输入未经处理拼入系统命令，应优先用escapeshellarg转义各参数，再用escapeshellcmd兜底防护，或直接使用PHP内置函数替代shell调用。
如果您在PHP中调用system()、exec()等函数执行外部命令，但用户输入的数据未经恰当处理就拼入命令字符串，则极易引发命令注入漏洞。以下是正确使用escapeshellcmd与escapeshellarg的实践方法：
一、escapeshellcmd：用于转义整条命令字符串
escapeshellcmd()的作用是对整个命令行字符串中的shell元字符进行转义，防止攻击者利用|、&、;、`等符号截断原命令并注入恶意指令。它适用于对已拼接完成的完整命令字符串做整体防护，但不能替代对单个参数的独立转义。
1、确认待执行命令结构，例如：$cmd = 'ls -l ' . $_GET['dir'];
2、将完整命令传入escapeshellcmd()处理：$safe_cmd = escapeshellcmd($cmd);
立即学习“PHP免费学习笔记（深入）”；
3、调用system()执行转义后的命令：system($safe_cmd);
4、注意：该函数不转义空格，也不保证参数边界完整性，若用户输入含空格路径（如/var/www/html/my folder），仍可能被拆分为多个参数导致意外行为。
二、escapeshellarg：用于安全包装单个参数
escapeshellarg()专为保护单个命令行参数而设计，它将输入字符串用单引号包裹，并对内部所有单引号转义为'\''形式，确保该参数在shell中始终被视为一个不可分割的整体。此函数必须用于每个来自用户输入的独立参数，是防御命令注入最可靠的基础手段。
1、提取用户输入的参数值，例如：$user_file = $_POST['filename'];
2、对每个参数单独调用escapeshellarg()：$safe_file = escapeshellarg($user_file);
3、将转义后的参数拼入命令字符串：$cmd = 'cat ' . $safe_file;
4、直接执行命令：system($cmd);
5、若需拼接多个参数，每个都必须独立调用：$cmd = 'cp ' . escapeshellarg($src) . ' ' . escapeshellarg($dst);
三、组合使用：命令+参数双重防护
当命令本身含动态部分（如可选开关）且参数也来自用户时，需同时使用两个函数：先用escapeshellarg保护各参数，再用escapeshellcmd包裹最终命令字符串。这种组合能覆盖更复杂的注入场景，但escapeshellarg应优先应用于参数，escapeshellcmd仅作兜底。
1、定义基础命令和用户变量：$base = './backup.sh'; $target = $_GET['dest']; $level = $_GET['priority'];
2、对每个用户参数分别转义：$safe_target = escapeshellarg($target); $safe_level = escapeshellarg($level);
3、拼接完整命令：$cmd = $base . ' --dest ' . $safe_target . ' --level ' . $safe_level;
4、对最终命令整体转义：$final_cmd = escapeshellcmd($cmd);
5、执行：system($final_cmd);
四、常见错误示例及规避方式
开发者常误认为仅使用escapeshellcmd即可高枕无忧，或混淆两函数适用边界。典型错误包括：将用户输入直接拼入未加引号的命令位置、对已转义参数再次拼接未转义字符串、在Windows路径中忽略空格导致解析断裂。这些错误均会绕过防护。
1、错误写法：system('ls -l ' . escapeshellcmd($_GET['path'])); —— escapeshellcmd无法阻止$path中单引号闭合导致的注入
2、正确写法：system('ls -l ' . escapeshellarg($_GET['path']));
3、错误写法：$cmd = 'convert ' . $_GET['input'] . ' ' . $_GET['output']; system(escapeshellcmd($cmd)); —— 两个参数均未隔离，空格或分号可破坏结构
4、正确写法：$cmd = 'convert ' . escapeshellarg($_GET['input']) . ' ' . escapeshellarg($_GET['output']); system($cmd);
五、替代方案：避免shell执行的更安全路径
并非所有功能都必须依赖shell命令。PHP内置函数往往能替代常见外部调用，从而彻底消除命令注入风险。例如文件操作可用fopen/fwrite代替echo重定向，归档处理可用ZipArchive类代替zip命令，图像处理可用GD库代替convert命令。
1、用file_get_contents()替代cat $file：$content = file_get_contents($_GET['file']);
2、用rename()替代mv $src $dst：rename($_GET['src'], $_GET['dst']);
3、用ZipArchive创建压缩包替代zip -r archive.zip dir/：$zip = new ZipArchive(); $zip->open('archive.zip', ZipArchive::CREATE); $zip->addGlob($_GET['dir'] . '/*');
4、若必须调用外部程序，优先使用proc_open()配合显式I/O流控制，而非system()或exec()。
