system() 返回 false 或空字符串时，命令可能未执行；应检查返回码、PATH、用户shell权限、disable_functions及输出缓冲。
system() 返回 false 或空字符串，先确认命令是否真执行了
很多人以为 system() 没输出就是函数失效，其实更常见的是命令压根没跑起来。它返回 false 时只说明执行失败，但失败原因可能是路径错、权限缺、命令不存在，甚至 shell 被禁用。
最直接的验证方式是加 $result_code 参数：
system('ls -la /tmp', $code); var_dump($code);
若 $code 是非零值（比如 127 表示命令未找到，126 表示无执行权限），问题就出在系统层，不是 PHP 配置问题。
- Linux/macOS 下检查
which ls是否有输出，确认 PATH 是否包含常用命令路径 - Web 环境中，PHP 常以
www-data或nginx用户运行，该用户可能被限制 shell 访问（如/bin/false登录 shell） - 某些共享主机或容器环境会通过
disable_functions禁用system，执行ini_get('disable_functions')查看是否含system
Web 环境下输出被截断或不显示，检查 output buffering 和 flush 行为
system() 在 Web SAPI（如 FPM、Apache）中默认会逐行刷新输出缓冲区，但这依赖于服务器配置和 PHP 的 output_buffering 设置。如果页面最终没看到任何输出，很可能是缓冲区卡住了。
立即学习“PHP免费学习笔记（深入）”；
PHP 8.5.12 RC 1
下载
PHP 8.5.12 RC 1 候选版修复 BZ2、DOM、PDO、Opcache/JIT 和扩展内存安全问题，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
别依赖浏览器“等一会儿”，先本地验证：
<?php
ob_implicit_flush(true);
ob_end_flush();
system('echo "hello"; sleep 1; echo "world"');
?>
- 若仍无输出，检查
output_buffering是否设为Off或0（phpinfo()查） - Nginx + PHP-FPM 组合下，
fastcgi_buffering off必须显式开启才能让system()的实时输出透传到浏览器 - Apache 的
mod_php下，php_flag output_buffering Off可写入.htaccess（但需允许 override）
命令含空格、特殊字符或用户输入时，必须转义，否则静默失败
直接拼接变量调用 system() 是高危操作，不仅有安全风险，还极易因未转义导致命令被截断——比如文件名含空格，system("cat $file") 会被拆成两个参数，cat 只读第一个单词，后续部分被忽略，且不报错。
正确做法只有一条：用 escapeshellarg() 包裹每个外部输入：
$filename = $_GET['f'] ?? '';
system('cat ' . escapeshellarg($filename), $code);
-
escapeshellcmd()仅适用于整条命令，但无法处理带引号或嵌套结构，可靠性不如escapeshellarg() - 绝对不要对整个命令字符串做一次
escapeshellarg()，那会把空格也转义掉，导致命令字面量执行失败 - 如果命令逻辑复杂（如管道、重定向），改用
proc_open()更可控，system()本就不适合这类场景
CLI 和 Web 下行为不一致？重点查 php.ini 分区配置
PHP-FPM 和 CLI 使用不同的 php.ini 文件（通常分别是 /etc/php/8.1/fpm/php.ini 和 /etc/php/8.1/cli/php.ini）。你在终端能跑通 system('date')，不代表 Web 页面也能——可能只是 CLI 版本没禁用函数，而 FPM 版本禁用了。
执行以下两行对比差异：
php -i | grep disable_functions php-fpm -i | grep disable_functions
- 若 FPM 输出里含
system，就直接删掉；改完记得sudo systemctl restart php8.1-fpm - 有些面板（如宝塔）会在 FPM 配置里额外加
php_admin_value[disable_functions]，优先级高于全局 ini，得去站点配置里找 - 另外确认
safe_mode已彻底移除（PHP 5.4+ 不再支持），不用白费劲查这个
system() 直接用 proc_open() 捕获完整 stderr，比反复猜配置更省时间。 
