Ubuntu 18下PHP脚本手动正常，Cron执行无法添加iptables规则

核心问题原因及对应解决方法 #

1. 权限不足（最常见原因） #

iptables修改防火墙规则需要root权限，如果你的crontab是普通用户的定时任务，执行iptables命令会因权限不足静默失败，但脚本未检测命令执行结果，所以日志仍会输出"blocked"提示，实际规则并未添加。

解决方法：

• 使用root用户的crontab：执行sudo crontab -e编辑定时任务，添加你的Cron命令。
• 或在普通用户crontab中用sudo执行脚本（需确保该用户在sudoers中无需密码执行相关命令）：

  57 17 * * * sudo /home/myapp/app1/bin/php/bin/php /home/myapp/app1/webpage/scripts/ip_blocker.php > /tmp/result.log
  

2. Cron环境变量缺失 #

Cron默认PATH仅包含/usr/bin:/bin，如果iptables、netstat等命令不在此路径下（比如iptables通常在/sbin/），exec执行时会找不到命令导致失败。

解决方法：
在脚本中使用所有命令的绝对路径，可通过which iptables、which netstat查看路径，修改示例：

// 替换netstat及后续工具的绝对路径
exec("/bin/netstat -ntu | /usr/bin/awk '{print $5}' | /usr/bin/cut -d: -f1 | /usr/bin/sort | /usr/bin/uniq -c | /usr/bin/sort -n", $output);

// 替换iptables的绝对路径
exec("/sbin/iptables -A INPUT -s ".$ip." -j DROP");

3. 未捕获exec命令执行错误 #

原脚本中exec命令失败时不会抛出异常，try/catch无法捕获错误，导致你无法得知命令执行失败的真实原因。

解决方法：
添加返回值检查，获取命令执行状态：

foreach($output as $ip_address){
    [$connections, $ip] = explode(' ', trim($ip_address));
    if($connections > $max_connections && !in_array($ip, $exceptions)){
        $ipt_output = [];
        $return_var = 0;
        exec("/sbin/iptables -A INPUT -s ".$ip." -j DROP", $ipt_output, $return_var);
        if($return_var === 0){
            echo $ip." blocked with ".$connections." connections.\n";
        }else{
            echo "Failed to block ".$ip.", return code: ".$return_var."\n";
        }
    }
}

4. PHP字符串解析导致awk命令异常 #

原脚本中awk '{print $ 5}'的$5在PHP双引号字符串中会被解析为PHP变量（该变量不存在，会被替换为空），导致awk实际执行无效命令。

解决方法：
避免PHP解析$，可改用单引号包裹命令或转义$：

// 方法1：单引号包裹整个命令
exec('netstat -ntu | awk \'{print $5}\' | cut -d: -f1 | sort | uniq -c | sort -n', $output);

// 方法2：转义双引号中的$
exec("netstat -ntu | awk '{print \$5}' | cut -d: -f1 | sort | uniq -c | sort -n", $output);

内容的提问来源于stack exchange，提问作者Vga Hdmi