PHP 8.4.10 不修复 passthru() 漏洞，根源在于未经校验拼接用户输入；应禁用危险函数、白名单校验、改用原生PHP方法或限制执行环境。
PHP 8.4.10 本身不修复 passthru() 的行为，它只是执行系统命令的原生函数——漏洞根源不在版本，而在代码是否**未经校验就将用户输入拼入命令字符串**。规避的关键是切断“用户可控输入 → 命令执行”的路径，而非升级到某个小版本。
禁用危险函数是最直接的防线
在 php.ini 中明确禁用高危执行函数，能从运行时层面阻断利用可能：
- 找到当前生效的
php.ini（可通过php --ini或phpinfo()确认） - 添加或确认以下配置项：
disable_functions = passthru,exec,system,shell_exec,proc_open,popen,pcntl_exec - 重启 PHP-FPM 或 Web 服务器使配置生效
注意：该设置对所有 PHP 脚本全局生效，需确保业务中无合法依赖这些函数的场景；若必须保留个别函数，至少应移除 passthru 和 shell_exec。
彻底避免拼接用户输入构造命令
即使函数未被禁用，只要不把用户数据直接塞进命令行，passthru() 就无法被利用。常见错误写法与安全替代如下：
立即学习“PHP免费学习笔记（深入）”；
- ❌ 危险示例：
$file = $_GET['name']; passthru("cat /var/log/{$file}");
攻击者传name=access.log;id即可执行任意命令 - ✅ 安全做法：
使用白名单限制可操作的文件名：$allowed = ['access.log', 'error.log', 'debug.log'];<br>if (in_array($_GET['name'], $allowed)) { passthru("cat /var/log/{$_GET['name']}"); } - ✅ 更推荐：改用 PHP 原生文件读取（无需 shell）：
readfile("/var/log/{$_GET['name']}");—— 但同样需配合白名单校验路径
启用 open_basedir 并限制执行环境
即使命令被执行，也能大幅压缩攻击面：
- 在
php.ini或虚拟主机配置中设置：open_basedir = /var/www/html:/tmp
这会阻止passthru()访问指定目录之外的路径和命令 - 搭配
safe_mode已废弃，但可通过 Linux 容器或低权限用户运行 PHP 进程（如以www-data身份运行，且不赋予sudo权限）来限制命令实际能做的事
用更安全的替代方案处理常见需求
多数使用 passthru() 的场景其实有更可控的 PHP 内置方法：
- 执行外部程序并获取输出 → 改用
proc_open()+ 白名单命令路径 + 显式参数数组（避免 shell 解析） - 读取日志或配置文件 → 直接用
file_get_contents()或scandir()+ 白名单 - 压缩/解压文件 → 使用
ZipArchive、PharData等扩展，不调用tar或unzip命令 - 图像处理 → 使用
GD或Imagick扩展，而非调用convert命令
本质上，passthru() 是“最后手段”。PHP 8.4.10 没有新增针对它的防护机制，但其更强的类型检查和错误报告能帮助你在开发阶段更快发现不安全的字符串拼接模式。
