system函数在PHP 8.1中仍可用，但仅返回命令输出的最后一行且自动刷出全部输出到响应体，易破坏JSON或HTML格式；错误流不捕获，需重定向；推荐用exec配合$output数组获取完整输出及退出码。
system 函数在 PHP 8.1 中仍可用，但它的行为和安全边界比直觉中更窄——它不返回完整输出，只返回最后一行；且默认会直接输出到标准输出（比如 Web 响应体），这常导致 JSON 接口被意外截断或 HTML 被污染。
system 函数的返回值不是全部命令输出
很多人误以为 system 返回整个命令结果。实际上，它只返回命令输出的**最后一行内容**（不含换行符），同时会把所有输出**直接刷到 stdout**。这意味着：
- 若你在 API 接口中调用
system('ls -la')，目录列表会直接混进 JSON 响应里，破坏格式 - 返回值
$result可能是空字符串（当命令无输出）或某一行（如total 12），无法代表整体执行状态 - 错误信息（stderr）默认不被捕获，除非显式重定向，例如
system('cmd 2>&1')
替代方案：用 exec + $output 参数捕获完整输出
需要完整输出时，exec 是更可控的选择。它支持第三个参数接收退出码，并通过第二个参数按行填充数组：
$output = [];
$returnCode = 0;
exec('ls -la /tmp 2>&1', $output, $returnCode);
// $output 是数组，每行一个元素
// $returnCode 是 shell 退出码（0 表示成功）
注意：exec 默认只返回最后一行给变量（和 system 类似），必须传入 $output 数组才能捕获全部。
PHP 8.5.12 RC 1
下载
PHP 8.5.12 RC 1 候选版修复 BZ2、DOM、PDO、Opcache/JIT 和扩展内存安全问题，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
- 若只需字符串形式，用
shell_exec('ls -la')更简洁（但不提供退出码） - 若需实时流式处理（比如日志 tail），
proc_open才是正解，system和exec都是阻塞同步的 -
passthru适合“透传”二进制输出（如生成图片后直接输出），但它也不返回内容，且无法捕获退出码
安全执行的前提：禁用危险函数或严格过滤命令
PHP 8.1 并未改变 system 的底层风险。只要 disable_functions 里没禁掉它，就可能被绕过过滤执行任意命令。常见疏漏点：
- 用
escapeshellarg()处理参数，但忘了对命令名本身做白名单校验（如允许用户拼接$cmd = $_GET['tool'] . ' ' . escapeshellarg($_GET['file'])，攻击者可传tool=sh&file=-c+id） - 在 Windows 上，
system('dir')看似安全，但若用户控制路径部分，仍可能触发system('dir C:\ & del /f /q *') -
safe_mode已废弃多年，别依赖它；真正有效的只有disable_functions = system,exec,passthru,shell_exec,proc_open配合 open_basedir
为什么不用反引号或 shell_exec 替代 system？
反引号（`ls -l`）和 shell_exec() 功能几乎等价，都返回完整输出字符串。但它们和 system 有本质区别：
-
system自动输出到响应体，shell_exec完全静默，由你决定怎么用 -
system返回最后一行，shell_exec返回全部（作为字符串） - 三者都无法获取 shell 退出码，除非像
exec那样显式传参 - 性能上无差异，选择取决于「是否要立即输出」和「是否需要退出码」
真正容易被忽略的是：无论用哪个函数，PHP 进程的当前工作目录、环境变量、umask 都会继承 Web 服务器设置，而这些在容器或 FPM 模式下往往和本地终端不一致——调试时 ls 能看到的文件，线上可能根本不存在。
