如何在Laravel控制器中以sudo权限运行Artisan命令（生产环境）

问题场景 #

使用Spatie/laravel-backup包备份数据库，本地运行正常；生产环境中终端执行sudo php artisan backup:run能成功完成备份，但在Laravel控制器中调用Artisan::call('backup:run')时失败，原因是storage目录创建备份文件夹需要sudo权限。

核心风险提示 #

直接在控制器中以sudo权限运行命令存在严重安全隐患——web服务器运行用户通常权限较低，若赋予其sudo权限，一旦服务器被入侵，攻击者可直接获取root权限操作服务器，因此优先推荐修复目录权限的方案。

推荐方案：修复storage目录权限 #

问题根源是web服务器运行用户（如www-data、apache、nginx）没有storage目录的写入权限，只需调整目录的所属用户和权限即可：

• 先确认web服务器用户：Ubuntu/Debian系统一般是www-data，CentOS/RHEL系统一般是apache或nginx
• 修改storage目录所属用户组：

  sudo chown -R www-data:www-data /path/to/your/laravel/storage
  

• 设置目录权限（保证web用户可写入）：

  sudo chmod -R 775 /path/to/your/laravel/storage
  

完成以上操作后，控制器中原本的Artisan::call('backup:run')即可正常执行。

备选方案：配置sudo免密执行（仅万不得已使用） #

如果因特殊场景必须用sudo执行备份命令，可通过配置sudoers让web用户无需密码执行指定的artisan命令：

1. 编辑sudoers文件（必须用visudo，避免语法错误导致sudo功能失效）：

   sudo visudo
   

2. 在文件末尾添加一行（替换www-data为你的web服务器用户，/usr/bin/php为php可执行文件路径，/path/to/your/laravel/artisan为项目根目录下的artisan文件路径）：

   www-data ALL=(ALL) NOPASSWD: /usr/bin/php /path/to/your/laravel/artisan backup:run
   

3. 修改控制器代码，替换Artisan::call为shell执行命令：

   public function backup(Request $request)
   {
       try{
           $command = 'sudo php '.base_path('artisan').' backup:run 2>&1';
           exec($command, $output, $returnVar);
   
           if ($returnVar === 0) {
               return response()->json("Database backup was successful.");
           } else {
               return response()->json("Backup failed: ".implode("\n", $output));
           }
       }catch(Exception $e){
           return response()->json($e->getMessage());
       }
   }
   

⚠️ 注意：此方案会让web用户以root权限执行备份命令，一旦代码存在漏洞，攻击者可利用此权限执行任意root级别的操作，务必谨慎使用。

内容的提问来源于stack exchange，提问作者Zia