无法通过PHP shell_exec()在Chrome浏览器显示kubectl输出

问题描述 #

在CentOS Linux release 7.9.2009 (Core)环境下，使用PHP 5.4.16编写的脚本通过shell_exec()执行kubectl命令时，终端运行脚本能正常输出结果，但在Chrome浏览器中访问时，仅能显示ls -lrth的输出，kubectl命令的输出无法显示。相关脚本代码如下：

<?php

$ns = "bind";
echo $ns;

$cmd = "kubectl --kubeconfig /var/www/html/config get pod -n $ns";

$cmd2= "ls -lrth";
echo "<pre>";
$output1 = shell_exec($cmd);

$output2 = shell_exec($cmd2);

echo $output1;         // 终端能打印，但浏览器中无法显示
echo $output2;
echo "</pre>";          // 终端和浏览器都能打印

echo "after shell_exce funtion"
?>

解决方案 #

1. 确保kubectl命令路径正确并捕获错误输出 #

shell_exec()仅捕获标准输出，且web服务器的环境PATH可能与终端用户不同，导致找不到kubectl命令；同时kubectl的错误信息会输出到标准错误流，无法被默认捕获。

• 先在终端执行which kubectl获取kubectl的绝对路径，比如/usr/local/bin/kubectl
• 修改脚本中的kubectl命令，添加绝对路径并将标准错误重定向到标准输出：

  $cmd = "/usr/local/bin/kubectl --kubeconfig /var/www/html/config get pod -n $ns 2>&1";
  

  这样如果命令执行出错，错误信息会被$output1捕获，在浏览器中显示，方便排查问题。

2. 检查文件与命令的权限 #

web服务器通常以apache或nginx用户运行，需要确保该用户有访问kubeconfig文件和执行kubectl的权限：

• 给kubeconfig文件添加其他用户的读权限（或更安全地将web用户加入对应组）：

  # 临时测试用，开放读权限
  chmod o+r /var/www/html/config
  # 更安全的方式：将文件组改为apache，给组添加读权限
  chown :apache /var/www/html/config
  chmod g+r /var/www/html/config
  

• 确保kubectl命令对web用户有执行权限：

  chmod o+x /usr/local/bin/kubectl
  

3. 排查SELinux限制 #

CentOS 7默认开启SELinux，可能阻止web服务器执行系统命令：

• 临时关闭SELinux测试是否是其导致的问题：

  setenforce 0
  

• 如果测试有效，需要添加SELinux规则允许web服务器执行相关操作：

  # 允许web服务器执行内存中的脚本
  setsebool -P httpd_execmem on
  # 允许web服务器网络连接（kubectl需要连接K8s集群）
  setsebool -P httpd_can_network_connect on
  # 给kubectl添加SELinux上下文，允许web服务器执行
  chcon -t httpd_sys_script_exec_t /usr/local/bin/kubectl
  

内容的提问来源于stack exchange，提问作者RAVINDRA BIND