必须设置 Content-Type，否则浏览器按 text/html 解析二进制流导致乱码或空白；passthru 原样透传 stdout，不截断不转码，是唯一适合输出图像等二进制数据的执行函数。
passthru 输出二进制数据前必须设置 Content-Type
不设 header 就直接调用 passthru()，浏览器会按 text/html 解析二进制流，结果是乱码、下载失败或显示空白。这不是函数问题，而是 HTTP 协议层面的约定。
常见错误现象：passthru("convert -size 100x100 xc:red png:-") 返回一堆不可读字符，或触发下载弹窗而非内联显示。
- 图像类命令（如
convert、cat image.png、ffmpeg -i ... -f mp4 -）必须配header("Content-Type: image/png")或对应 MIME 类型 - 音频/视频流需匹配
audio/mpeg、video/mp4等，不能硬写image/* - 务必在
passthru()调用前发送 header，且不能有任何输出（包括空格、BOM、echo ""） - 若使用 output buffering，需确保
ob_end_clean()或ob_flush()配合得当，否则 header 可能被拦截
PHP8.2 下 passthru 的空命令和 null 字节校验更严格
PHP 8.0+ 开始，passthru() 对输入参数做显式校验：传入空字符串或含 \0 字节时直接抛出 ValueError，不再静默失败。这点在拼接用户输入时极易踩坑。
- 检查
$command是否为空：if (!$command) { http_response_code(400); exit; } - 过滤 null 字节：
$command = str_replace("\0", "", $command)，但更推荐用escapeshellarg()包裹参数部分 - 避免直接拼接用户输入：
passthru("convert {$user_input} png:-")是高危写法；应改为passthru("convert " . escapeshellarg($user_input) . " png:-") - 注意
escapeshellcmd()和escapeshellarg()的区别：前者用于整条命令，后者用于单个带空格/特殊字符的参数
为什么不用 exec 或 system？它们会破坏二进制完整性
exec() 默认只返回最后一行，system() 会对输出做换行截断和编码转换（比如把
exec() 默认只返回最后一行，system() 会对输出做换行截断和编码转换（比如把 \0 当作字符串终止），而 passthru() 是唯一一个将 stdout 原样透传、不做任何 PHP 层解码或截断的函数。
passthru() 是唯一一个将 stdout 原样透传、不做任何 PHP 层解码或截断的函数。
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
- 测试方法：用
hexdump -C对比exec("cat test.jpg")和passthru("cat test.jpg")的实际输出字节 —— 前者明显缺失开头若干字节 - 即使你用
exec($cmd, $out)收集全部行，PHP 仍会把每行末尾的 \n 当作分隔符处理，且无法保留原始 \0、\r、高位字节 - 如果命令本身输出非 UTF-8 编码（如 GBK 图片注释、Latin-1 元数据），
exec/system可能触发隐式转换警告或截断
常见命令组合与 MIME 类型对照
命令是否真能输出二进制流，取决于它本身是否支持“输出到 stdout”模式（通常用 - 或 png:- 表示）。不是所有命令都适用 passthru。
-
convert input.jpg png:-→header("Content-Type: image/png") -
ffmpeg -i video.mp4 -f mp4 -→header("Content-Type: video/mp4") -
cat /path/to/file.pdf→header("Content-Type: application/pdf") -
gs -sDEVICE=pngalpha -r150 -dNOPAUSE -dBATCH -sOutputFile=- input.ps→header("Content-Type: image/png") - 禁止用
ls、date这类纯文本命令配passthru+ 图像 header —— 浏览器会报解析错误
最易被忽略的一点：命令是否真的向 stdout 写入了完整二进制块。有些工具（如旧版 identify）默认输出到 stderr，此时要重定向：identify -format "%wx%h" image.jpg 2>&1，否则 passthru 拿不到任何输出。
