差异概览：PHP执行命令函数的核心差异
返回值与输出行为
在执行命令时的输出管理方面，四个函数呈现出不同的行为特征。exec() 将命令输出放入一个数组变量，通过返回值获得退出码，输出内容不会直接显示在页面上，需要你手动拼接显示。return值是最后一个命令的退出状态，通常用来判断是否成功。
相比之下，shell_exec() 直接返回命令的完整输出文本，不会暴露退出码，而且输出以字符串形式返回，适合将结果写入变量再处理。注意：若命令没有输出，返回值可能为 NULL。
另外，system() 和 passthru() 会把命令的输出直接“流式”打印到页面或输出缓冲区，system() 会返回输出的最后一行文本，同时可以通过第二个参数获得退出码；passthru() 也返回最后一行输出，并可用第二个参数获取退出码，但通常用于二进制输出或需要原样输出的场景。
// exec 示例：输出通过变量收集，返回退出码
$output = [];
$return_var = 0;
exec('ls -la', $output, $return_var);
echo implode("\n", $output);
echo "Return code: $return_var";// shell_exec 示例：直接获取完整输出
$output = shell_exec('ls -la');
echo $output;// system 示例：输出逐行打印，返回最后一行，获得退出码
$last_line = system('ls -la', $return_var);
echo "Last line: $last_line\n";
echo "Return code: $return_var";// passthru 示例：输出逐行打印，通常用于二进制数据
$last = passthru('ls -la', $return_var);
echo "Return code: $return_var";
错误处理与异常传播
在错误处理方面，PHP 的四个函数并不会像异常那样主动抛出错误，开发者需要通过检查返回值或状态变量来判断执行是否成功。exec()、system()、passthru() 都可以通过第三个或第二个参数获得退出码，shell_exec() 则不提供退出码信息，需要结合其他手段判断失败情形。
常见做法是在调用命令后立即检查 $return_var 或返回的输出是否符合预期，并对异常输出进行记录。对于未成功的执行，应避免将错误信息直接回显给最终用户，防止信息泄露。以下示例展示了一个简单的错误检查模式：
// 使用 exec 检查错误
$cmd = 'grep -R "TODO" /var/www';
$output = [];
$return_var = 0;
exec($cmd, $output, $return_var);
if ($return_var !== 0) {// 记录日志，避免直接暴露给用户error_log("Command failed: $cmd, code: $return_var");
} else {echo implode("\n", $output);
}
编排命令时的判定逻辑 也很关键：若需要快速判断“是否成功”，优先使用返回退出码的判断逻辑；若需要完整文本，优先使用 shell_exec()，但要记得同样要做失败处理。综合来说，不要单纯依赖输出文本来判断执行是否成功，退出码才是核心参量之一。
逐步输出、实时交互的适配
当场景要求对命令执行过程进行实时输出给前端或日志时，system() 与 passthru() 是更合适的选择，因为它们会把输出逐步打印到页面。注意，Web 环境的输出往往会被缓冲，需要结合 ob_flush()、flush() 等调用并确保服务器/代理未对流式输出进行屏蔽。
下面是一个简单的实时输出示例，演示如何逐步显示命令结果到浏览器端：
适用场景与具体示例
需要获取命令输出文本时的选择
当你的应用只需要获得命令的完整文本输出进行进一步处理时，shell_exec() 是最直接的选择。它的返回值是完整的输出文本，不涉及逐步输出，适合生成报告、导出数据或将结果写入存储。
如果你需要同时获得结构化的输出和退出状态，exec() 提供了这两者：输出文本以数组形式返回，退出码通过引用参数返回。这样你可以在后续逻辑中基于退出码做分支处理。注意，输出的顺序和格式需要你自行组装。
// shell_exec 用法：获取完整文本输出
$outputText = shell_exec('date');
echo $outputText;// exec 用法：获取文本与退出码
$lines = [];
$rc = 0;
exec('date', $lines, $rc);
echo implode("\n", $lines);
echo " Return code: $rc";
逐步输出或交互式场景的选择
如果需要将命令执行过程实时呈现给用户，如长时间运行的脚本或交互式输出，system() 或 passthru() 更符合需求，因为它们会逐步输出。为了实现前端的“流式”体验，通常需要开启输出缓冲，配合前端的定时刷新机制。
下列示例展示了一个实时显示的场景，利用 system() 的逐步输出能力：
";
system('ping -c 4 127.0.0.1', $rc);
echo "安全要点与防御要素
命令注入防护策略
最重要的一点是从不直接将外部输入拼接到命令中。若必须接收用户输入，务必进行严格的白名单校验与参数化处理。优选做法是将可执行程序限定在受信任的集合内，使用 escapeshellarg() 或 escapeshellcmd() 做参数化处理，避免任意命令执行的风险。
示例中，尽量使用白名单并对输入做严格校验，而不是简单地将用户输入拼接到命令字符串中：
$user = $_GET['cmd'] ?? '';
$allowed = ['uptime','pwd','whoami']; // 白名单
if (in_array($user, $allowed)) {system('/bin/' . escapeshellarg($user), $rc);
} else {// 记录或拒绝error_log("Forbidden command: $user");
}
尽可能使用最小化的权限执行，以降低潜在的风险。如果命令中包含参数，优先对每个参数进行 escapeshellarg() 的单独处理，尽量避免信任外部输入直接进入命令行。
最小权限与配置 isolating
在部署层面，应以最小权限原则为关键原则：仅允许 PHP 进程调用必要的外部程序，必要时通过 disable_functions、open_basedir、以及容器/沙箱等机制将执行环境隔离。请注意，open_basedir 主要限制 PHP 访问的文件系统路径，对命令执行的网络或系统权限并非完全屏蔽，因此需配合其他安全机制使用。
另外，可以将命令执行放在具备容器化的环境中，如 Docker，并对命令输入输出进行单独的审计与限制，用以降低对宿主系统的影响。
日志与监控
对执行命令的行为进行完整日志记录是重要的安全环节。将命令文本、执行者、时间戳、返回码等信息写入中央化日志，有助于事后审计与异常检测。不要直接将完整命令的输出暴露给最终用户，而是记录在内部日志中，并仅暴露必要的、经过脱敏的结果。
监控还包括对异常退出码的告警、对高频执行的限流以及对关键路径的访问控制。对于高风险操作，应引入额外的人机审核或双因认证流程来提升安全性。
常见误解与对比要点
误解：任意函数都能直接替代
不少开发者误以为 exec、shell_exec、system、passthru 可以互相替代，但实际上它们在输出处理、退出码返回、以及逐步输出能力上各有差异。直接替换往往导致难以控制的输出行为与安全风险。
例如，把需要退出码的场景替换为 shell_exec()，就错过了退出码的判断；同样地，若需要逐步输出，使用 exec() 会阻塞输出流。正确的做法是根据实际需求选择最合适的函数。
// 错误示例：仅用 shell_exec() 判断成功与否
$out = shell_exec('grep -R "TODO" /var/www');
if ($out === null) {// 无输出，误以为失败
}
误解：所有情况都能用 escapeshellarg/escapeshellcmd
虽然 escapeshellarg 和 escapeshellcmd 能提升参数安全性，但在某些复杂场景下并不能完全杜绝注入风险。错误地依赖转义而忽略输入白名单和命令边界，仍然可能带来执行错误或安全漏洞。
最佳实践是结合严格的输入校验、固定的命令白名单、以及对参数进行单独的转义处理，避免将未经过滤的用户输入直接拼接到命令字符串中。
// 更安全的做法：白名单 + 参数化
$cmd = $_GET['cmd'] ?? '';
$allowed = ['status','version'];
if (in_array($cmd, $allowed)) {$safeArg = escapeshellarg($cmd);exec("/usr/bin/mycmd {$safeArg}", $out, $rc);
}
