PHP实现安全文件传输无官方“PHP-SCP库”，主流方案是：①用phpseclib库调用SFTP（推荐，纯PHP、跨平台、支持密钥认证）；②调用系统scp命令（需严格过滤输入、配置SSH密钥、检查权限与环境）。
PHP 没有官方的 “PHP-SCP 库” —— scp 是 Linux/Unix 系统自带的命令行工具，不是 PHP 扩展或 Composer 包。想在 PHP 中实现类似 scp 的加密文件拷贝功能，实际要解决的是：如何在 PHP 里安全、可靠地完成基于 SSH 协议的远程文件传输。目前主流且可行的路径只有两条：调用系统 scp 命令（需环境支持），或使用纯 PHP 实现的 SSH/SFTP 库（如 phpseclib）。下面直接说怎么做。
为什么找不到 composer require php-scp 或类似包
搜索 composer require scp 或 php-scp 会返回零结果，因为：
- 没有维护良好、被广泛采用的独立 “SCP 协议 PHP 实现” —— SCP 协议本身未标准化，不同 OpenSSH 版本行为不一致，解析难度高；
- 所有成熟方案都绕开 SCP，转而使用更稳定、更易实现的 SFTP 子系统（运行在 SSH 连接之上）；
-
phpseclib提供的是SFTP类，不是SCP类 —— 它底层复用 SSH 连接，但走的是 SFTPv3 协议，语义和可靠性远超原始 SCP。
正确做法：用 phpseclib 的 SFTP 替代 scp 命令
这是最推荐的方案，尤其适合无法保证服务器装了 scp、或需精细控制连接/错误/权限的场景。
- 安装：
composer require phpseclib/phpseclib:~3.0（注意版本号，~3.0表示 3.x 最新版）； - 连接与上传示例：
<?php use phpseclib3\Net\SFTP; $sftp = new SFTP('192.168.1.100'); if (!$sftp->login('username', 'password')) { throw new Exception('Login failed'); } // 上传本地文件到远程 if (!$sftp->put('/remote/path/file.txt', '/local/path/file.txt', SFTP::SOURCE_LOCAL_FILE)) { throw new Exception('Upload failed'); } ?> - 关键点：
SFTP::SOURCE_LOCAL_FILE明确指定源为本地文件（避免内存加载大文件）； - 密钥登录更安全：用
$sftp->login('username', $key)，其中$key是phpseclib3\Crypt\RSA实例，支持 PEM/PKCS#8 格式； - 不支持递归上传整个目录 —— 需自己遍历本地目录，逐个调用
put()，并用mkdir()创建远程路径。
如果坚持用系统 scp 命令：shell_exec + 严格防护
仅当服务器已配好 SSH 密钥、禁用密码登录、且你完全信任输入来源时才考虑此路。
立即学习“PHP免费学习笔记（深入）”；
- 先确认可用：
which scp和php -r "echo shell_exec('scp -V 2>&1');"； - 构造命令必须过滤所有变量：
escapeshellarg()包裹每个路径和用户名，例如：$user = escapeshellarg('myuser'); $host = escapeshellarg('192.168.1.100'); $src = escapeshellarg('/tmp/data.zip'); $dst = escapeshellarg('/home/myuser/uploads/'); $cmd = "scp -o StrictHostKeyChecking=no -i /home/www/.ssh/id_rsa $src $user@$host:$dst"; $output = shell_exec($cmd . ' 2>&1'); - 绝对不要拼接用户输入进命令字符串 —— 即使是文件名，也需白名单校验或重命名隔离；
-
shell_exec()不返回退出码，要用exec($cmd, $output, $returnCode)捕获状态； - 失败时
$output里常混着 stderr，需检查$returnCode !== 0而非只看输出内容是否为空。
容易被忽略的关键细节
无论是 SFTP 还是 scp 命令，真正卡住人的往往不是语法，而是环境链路上的隐性依赖：
- PHP 进程用户（如
www-data）必须对私钥文件有读权限，且私钥不能是 0644 —— OpenSSH 拒绝加载权限过宽的密钥，应设为0600； - 远程主机的
sshd_config必须启用SFTPSubsystem（默认开启），但若禁用了AllowTcpForwarding或限制了ForceCommand，SFTP 会静默失败； - 大文件传输时，
phpseclib默认使用内存缓冲，可能 OOM —— 必须传SFTP::SOURCE_LOCAL_FILE参数，让它流式读写； - Windows 上用
scp命令需确保 PATH 包含 OpenSSH 客户端（Win10 1809+ 自带），否则shell_exec()找不到命令。
