核心是禁用用户输入拼接命令：PHP 8.4.17未新增命令注入机制，但旧漏洞仍有效；须禁用exec等危险函数、改用参数化调用、白名单校验、专用接口替代shell、输入净化、最小权限与运行时防护。
避免输入拼接导致命令执行漏洞，核心就一条：**绝不把用户输入直接拼进系统命令字符串里**。PHP 8.4.17 没有新引入命令注入机制，但旧漏洞在新版中依然有效——只要代码还在用 system()、exec()、shell_exec() 或 os.system()（Python混用场景）这类函数做字符串拼接，风险就完全存在。
禁用危险函数 + 强制白名单校验
生产环境必须关闭可执行外部命令的高危函数：
- 在
php.ini中设置：disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec - 若业务确实需要调用外部程序（如图像处理、PDF生成），改用参数化方式调用：
✅ 正确：exec('/usr/bin/convert', ['-resize', '800x600', $inputFile, $outputFile]);
❌ 错误：exec("/usr/bin/convert -resize 800x600 $inputFile $outputFile"); - 所有动态参数（如文件名、尺寸、格式）必须经过白名单校验：
例如只允许['jpg', 'png', 'webp']，禁止传入$(cat /etc/passwd)类构造
用专用接口替代 shell 调用
多数常见任务已有安全替代方案，无需碰 shell：
- 网络探测不用
ping拼接 IP：改用 PHP 原生fsockopen()或stream_socket_client()测试端口连通性 - 文件操作不用
rm -rf：用unlink()、rmdir()、RecursiveDirectoryIterator等内置函数 - 压缩解压不用
tar -xf：用ZipArchive、PharData扩展 - 日期/文本处理不用
date或sed：直接用date()、str_replace()、preg_replace()等
输入净化与上下文隔离
即使走白名单或专用接口，也要对原始输入做前置清洗：
立即学习“PHP免费学习笔记（深入）”；
- 过滤路径遍历：
$safeName = basename($_GET['file'] ?? '');，再结合in_array($safeName, $allowedFiles) - 校验 IP 地址：
filter_var($_GET['ip'], FILTER_VALIDATE_IP)，不依赖正则或字符串截取 - 限制命令参数长度和字符集：
if (preg_match('/^[a-zA-Z0-9._-]{1,64}$/', $arg)) { ... } - 关键操作记录日志并脱敏：
error_log("cmd: convert, file: {$safeName}, size: {$size}");，不记录原始用户输入
最小权限 + 运行时防护
最后一道防线不是靠代码写得多漂亮，而是靠环境约束：
- Web 服务进程（如 www-data、nginx）禁止拥有 root 权限，不赋予读取
/etc/shadow等敏感路径权限 - 启用 RASP（运行时应用自我保护）工具，拦截异常的
exec调用行为（如参数含分号、反引号、$(...)、&&） - 容器化部署时，用
readonly挂载根文件系统，或通过seccomp规则禁用execve系统调用 - 开发/测试环境开启
display_errors = Off，防止错误信息泄露命令路径或参数结构
