PHP通过shell_exec执行sudo mount ntfs-3g失败，手动执行却正常？

针对PHP通过shell_exec执行NTFS挂载失败，但终端手动执行成功的问题，可从以下几个方向排查：

1. Sudo的TTY限制 #

默认sudo配置要求用户拥有交互式TTY才能执行命令，但PHP的shell_exec运行在无TTY的后台环境中，这会导致sudo拒绝执行。

• 解决方法：编辑sudo visudo，添加针对www-data的规则：

  # 允许www-data无需TTY执行指定挂载命令（推荐最小权限）
  www-data ALL=(ALL) NOPASSWD: /bin/mount -t ntfs-3g -o ro /dev/sda1 /mnt/ntfs/sda1
  # 或者全局关闭www-data的TTY要求（不推荐，权限过大）
  Defaults:www-data !requiretty
  

  注意：不要直接给www-data全部sudo权限，遵循最小权限原则。

2. SELinux/AppArmor 安全策略限制 #

如果系统启用了SELinux或AppArmor，这类安全模块会阻止www-data（Apache/Nginx运行用户）执行挂载这类敏感操作。

• SELinux排查：临时关闭SELinux测试：setenforce 0，若挂载成功，再通过semanage fcontext配置永久规则，允许httpd访问挂载点和执行mount命令。
• AppArmor排查：检查Apache的AppArmor配置文件（通常在/etc/apparmor.d/usr.sbin.apache2），添加允许执行/bin/mount和访问/dev/sda1、/mnt/ntfs/sda1的规则，然后重新加载配置：apparmor_parser -r /etc/apparmor.d/usr.sbin.apache2

3. 挂载点的权限与安全上下文 #

挂载点/mnt/ntfs/sda1的权限或SELinux上下文可能不允许www-data访问：

• 调整挂载点权限：chown www-data:www-data /mnt/ntfs/sda1或chmod 755 /mnt/ntfs/sda1
• 修复SELinux上下文：chcon -t httpd_sys_content_t /mnt/ntfs/sda1，确保httpd进程能识别该目录的上下文。

4. 环境变量差异 #

终端用户的环境变量与www-data的运行环境存在差异，即使使用了命令完整路径，也可能影响命令执行：

• 尝试在sudo命令中添加-i参数，模拟登录环境加载完整的系统环境变量：

  $command = "/usr/bin/sudo -i /bin/mount -t ntfs-3g -o ro /dev/sda1 /mnt/ntfs/sda1 2>&1";
  

5. 设备底层锁定 #

即使你在终端确认无进程占用，PHP运行时可能存在系统服务（如udisks、udev）临时锁定设备的情况：

• 在PHP脚本中添加设备占用检查：

  $checkLsof = shell_exec("/usr/bin/lsof /dev/sda1 2>&1");
  $checkFuser = shell_exec("/usr/bin/fuser /dev/sda1 2>&1");
  echo "Lsof Output: $checkLsof<br>Fuser Output: $checkFuser";
  

  查看是否有隐藏进程占用设备。

内容的提问来源于stack exchange，提问作者Y.Gökalp