system()逐行刷新输出并返回最后一行文本，passthru()透传原始字节流且恒返回NULL；前者适合实时日志展示，后者专用于二进制内容（如图片、PDF）输出，二者均需手动设置header且受output_buffering影响。
system() 会逐行刷新输出，passthru() 直接透传原始字节流
这是最核心的差异，直接影响浏览器端能否看到“实时滚动效果”或正确渲染二进制内容。system() 在 Web SAPI（如 Apache、FPM）中，每输出一行就调用一次 flush()，强制把缓冲区内容推到客户端；passthru() 则完全绕过 PHP 输出层处理，把子进程 stdout 的原始字节原封不动送进响应体——不加换行、不转义、不截断、不编码。
常见错误现象：system("ping -c 4 google.com") 在网页里能看到逐行弹出的 ping 结果；而同样命令用 passthru() 调用，可能整块卡住几秒后一次性刷出，或在 Chrome 中被当成乱码显示（尤其含 ANSI 控制字符时）。
- 使用场景：需要实时日志流展示（如部署脚本进度），优先选
system() - 使用场景：输出 PNG/JPEG 图像、PDF 流、ZIP 文件，必须用
passthru()，否则二进制会被 PHP 输出层污染（比如自动加 Content-Length 或误判编码） - 注意：两者都受
output_buffering影响，若开启 output buffering，system()的“逐行刷新”会被拦截，需配合ob_flush()+flush()手动干预
system() 返回最后一行文本，passthru() 永远返回 NULL
system() 的返回值是命令输出的最后一行（字符串），失败时返回 false；passthru() 声明为 void，实际调用后总是返回 NULL（即使你 var_dump() 它），别试图用返回值判断命令是否成功。
正确做法是统一用第二个参数接收退出码：
立即学习“PHP免费学习笔记（深入）”；
$exitCode = 0;
system("ls /nonexistent", $exitCode);
// $exitCode === 2 表示目录不存在
<p>$exitCode = 0;
passthru("ls /nonexistent", $exitCode);
// $exitCode 同样是 2，但不能靠 passthru() 的返回值做逻辑分支
- 别写
if (passthru(...)) { ... }—— 它永远进不去 true 分支 -
system()的返回值可能被换行符截断，比如命令输出"OK\n123\n"，返回的是"123"，不是"OK"，更不是完整字符串 - PHP 8.3 对
system()的返回类型声明更严格：明确为string|false，IDE 和静态分析工具会报错如果你把它当数组或对象用
二者都不支持管道和重定向语法的直接解析
system("ls | grep php") 看似能用，其实是靠 shell 解析管道；但一旦禁用 shell（如 disable_functions 包含 shell_exec，而 system 和 passthru 未被禁），这种写法就会失败——因为 PHP 并不自己解析 |、>、2>&1，而是把整条字符串丢给 /bin/sh -c。所以它们本质仍是 shell 调用，不是“安全替代品”。
- 如果
shell_exec被禁，但system没被禁，system("cat /etc/passwd | head -n1")仍可能成功——只要底层 shell 可用 - 真正隔离命令执行？得用
proc_open()配合显式指定程序路径（如['/bin/ls', '/tmp']），避免经过 shell - PHP 8.3 默认启用
open_basedir限制时，system()和passthru()调用的可执行文件路径也受其约束，不是所有/usr/bin/xxx都能访问
输出编码与 HTTP 头必须手动协调
这两个函数输出的内容不会自动设置 Content-Type 或 Content-Length。如果你用 passthru("convert input.jpg output.png") 输出图片，但没提前写 header("Content-Type: image/png")，浏览器大概率把它当 HTML 解析并报错；同理，system("tar -cf - dir/") 输出 tar 流，不设 Content-Type: application/x-tar 就下载失败。
- 务必在调用前用
header()明确声明类型，且确保没有前置输出（包括 BOM、空格、echo） -
system()在 CLI 模式下行为不同：不刷新、不处理 HTTP 头、返回值逻辑一致，但输出直接到终端——这点常被忽略，导致本地测试正常、上线后乱码 - PHP 8.3 强化了 header 发送检查，如果在
passthru()后再尝试header()，会触发Warning: Cannot modify header information，顺序不可颠倒
实际用的时候，别只盯着“能不能跑”，重点看你要的是「人眼可见的调试流」还是「机器可消费的原始数据」——前者用 system()，后者闭眼选 passthru()，然后立刻补上 header 和 exit code 检查。
