不能在Apache中直接运行不受信任的PHP代码，因其无沙箱能力，必须依赖Docker容器、Firejail或PHP CLI受限模式等外部隔离层实现真正安全，Apache自身配置仅提供弱防护。
不能在 Apache 中直接运行不受信任的 PHP 代码。Apache 本身不是沙箱，它的设计目标是高效提供 Web 服务，而非隔离恶意行为。一旦 PHP 代码进入 Apache 环境（无论是 mod_php 还是 PHP-FPM），它就拥有对应进程用户的全部文件系统权限、网络能力与系统调用权限——这意味着一个 system("rm -rf /") 或 file_get_contents("/etc/shadow") 可能直接导致服务器沦陷。
必须使用外部隔离层，而非依赖 Apache 配置
Apache 的 open_basedir、disable_functions 或 php_admin_value 等设置，仅构成“弱防护”：它们可防误操作，但无法阻止绕过（如通过 proc_open 调用新进程、利用未禁用的 GD/FFmpeg 扩展触发内存越界、或通过 cURL 外连 C2 服务器）。真正安全的前提是——让这段代码根本无法接触宿主机资源。
-
Docker 容器是最推荐方式：构建一次性、无网络、只读挂载、资源受限的轻量环境。例如：
docker run --rm --network none --read-only -m 128m --pids-limit 50 -v $(pwd)/test:/app:ro php:8.2-cli-alpine php /app/test.php -
Firejail 更轻量但仅限 Linux：它能拦截
openat、connect、mount等关键系统调用。命令示例：firejail --quiet --noprofile --net=none --read-only=/ --whitelist=/tmp --whitelist=/app --private-bin=php --private-etc=php php /app/test.php -
PHP CLI 受限模式仅作辅助验证：适合快速语法检查，但不用于实际执行。命令如：
php -n -d disable_functions="exec,shell_exec,system,passthru,proc_open,popen" -d open_basedir="/tmp:/dev/shm" -d allow_url_fopen=Off test.php
绝对不要做的三件事
这些做法看似“加了限制”，实则制造虚假安全感，常见于被攻陷的共享主机：
- 在 Apache 虚拟主机里直接启用
php_admin_value open_basedir "/var/www/html"—— 它不限制命令执行，也不阻止跨站读取其他 vhost 的 session 文件； - 把待测 PHP 文件放在 Web 目录下，再靠
.htaccess禁用 PHP 引擎或屏蔽访问 —— 攻击者可能通过路径遍历、解析漏洞或配置错误绕过； - 用
suexec或降权 Apache 用户运行不受信代码 —— 若 PHP 进程仍以该用户身份启动，其对用户主目录、SSH 密钥、cron 任务等仍有完整读写权。
如果必须集成到 Web 流程中
例如提供在线代码评测、教学平台或 CMS 插件沙箱，需彻底解耦执行环节：
立即学习“PHP免费学习笔记（深入）”；
- Web 前端（Apache）只负责接收、校验、排队，不执行任何用户代码；
- 后端执行服务（如 Python + Docker API 或 Go + Firejail wrapper）在独立用户下运行，每个任务分配唯一容器名或临时目录，并设置超时（
--time=10s）、内存上限（-m 64m）、PID 限制； - 所有输入输出通过标准流传递，禁止挂载任何宿主敏感路径（如
/home、/root、/etc）； - 执行完立即销毁容器或清理 tmpfs 目录，日志单独落盘且不包含原始代码内容。
本质上，安全运行不受信 PHP 代码和“在 Apache 里运行”是互斥的。可靠方案永远落在 Apache 之外：用容器、命名空间或专用沙箱工具做第一道隔离，Apache 仅作为安全的前端网关存在。
