通过PHP exec运行Docker：替代sudo usermod -aG docker www-data的安全方案

将www-data加入docker组确实能解决权限问题，但docker组用户本质上拥有系统root级权限，一旦PHP代码被注入攻击，攻击者可直接控制整个系统，风险极高。以下是几种更安全的替代方案：

1. 通过sudo限制仅允许执行特定Docker命令 #

编辑sudoers配置文件（必须用visudo命令编辑，避免语法错误导致sudo失效），添加规则让www-data无需密码仅能执行指定的docker run命令：

www-data ALL=(ALL) NOPASSWD: /usr/bin/docker run --rm -v /var/www/html/ConverterPDF/html/files/pdf/:/pdf -v /var/www/html/ConverterPDF/html/files/html:/html bwits/pdf2htmlex pdf2htmlEX --zoom 3 /pdf/file.pdf --dest-dir /html

修改PHP代码，在命令前加上sudo：

<?php
exec("sudo docker run --rm -v /var/www/html/ConverterPDF/html/files/pdf/:/pdf -v /var/www/html/ConverterPDF/html/files/html:/html bwits/pdf2htmlex pdf2htmlEX --zoom 3 /pdf/file.pdf --dest-dir /html 2>&1");
?>

注意：如果需要动态指定文件名，必须严格过滤用户输入，避免命令注入；也可以将命令封装成脚本，限制sudo仅允许执行该脚本。

2. 使用Docker API + PHP SDK替代直接exec #

改用PHP的Docker客户端库（如docker-php/docker-php）通过Docker API调用容器，同时配置Docker API的TLS认证，细粒度控制权限：

<?php
require 'vendor/autoload.php';

// 初始化带TLS认证的Docker客户端
$client = Docker\Docker::create([
    'remote_socket' => 'tcp://localhost:2376',
    'ssl' => [
        'local_cert' => '/path/to/client-cert.pem',
        'local_pk' => '/path/to/client-key.pem',
        'verify_peer' => true,
        'cafile' => '/path/to/ca.pem',
    ],
]);

// 定义容器配置
$containerConfig = new Docker\API\Model\ContainerCreatePostBody();
$containerConfig->setImage('bwits/pdf2htmlex');
$containerConfig->setCmd(['pdf2htmlEX', '--zoom', '3', '/pdf/file.pdf', '--dest-dir', '/html']);
$containerConfig->setMounts([
    new Docker\API\Model\Mount([
        'type' => 'bind',
        'source' => '/var/www/html/ConverterPDF/html/files/pdf/',
        'target' => '/pdf',
        'readonly' => true, // 挂载为只读，降低风险
    ]),
    new Docker\API\Model\Mount([
        'type' => 'bind',
        'source' => '/var/www/html/ConverterPDF/html/files/html',
        'target' => '/html',
    ]),
]);
$containerConfig->setAutoRemove(true); // 等价于--rm参数

// 创建并启动容器，等待执行完成
$container = $client->containers()->create($containerConfig);
$client->containers()->start($container->getId());
$client->containers()->wait($container->getId());
?>

优势：避免直接执行系统命令，减少命令注入风险；通过TLS认证和API权限控制，仅允许PHP客户端执行指定操作。

3. 部署独立的PDF转换服务 #

完全隔离PHP进程与Docker权限，部署一个独立的HTTP服务（如用Python/Go编写），专门处理PDF转HTML请求：

• 该服务内部调用Docker容器执行转换，对外提供HTTP接口
• PHP仅需通过HTTP请求（如curl或Guzzle）调用该服务，无需直接操作Docker

示例PHP代码：

<?php
$client = new \GuzzleHttp\Client();
$response = $client->post('http://localhost:8080/convert', [
    'form_params' => [
        'pdf_path' => '/var/www/html/ConverterPDF/html/files/pdf/file.pdf',
        'dest_dir' => '/var/www/html/ConverterPDF/html/files/html'
    ]
]);
?>

优势：PHP进程完全不接触Docker权限，即使PHP被攻击，攻击者也无法直接操作Docker，风险最低；同时可对转换服务添加认证、限流等防护。

内容的提问来源于stack exchange，提问作者YodaCode