如何在PHP中执行带管道的Bash命令？求助openssl解密密码方案

方案1：正确转义参数后使用shell_exec #

直接执行带管道的命令失败，大概率是因为没有对包含特殊字符的加密串或密码进行转义，导致shell解析命令时出错。用escapeshellarg()函数对所有动态参数进行转义，确保它们被shell当作单个完整的字符串处理。

示例代码：

// 从数据库获取加密密码
$encryptedPassword = 'your-encrypted-password-from-db';
// 加密时使用的密码
$decryptionPass = 'your-encryption-password';

// 转义参数，避免特殊字符破坏命令结构
$escapedEnc = escapeshellarg($encryptedPassword);
$escapedPass = escapeshellarg($decryptionPass);

// 构造带管道的命令
$command = "echo $escapedEnc | openssl enc -base64 -d -aes-256-cbc -salt -pass pass:$escapedPass -pbkdf2";

// 执行命令并获取解密结果
$decrypted = shell_exec($command);
// 去除结果中的多余换行符
$decrypted = trim($decrypted);

方案2：使用proc_open直接传递输入（更可靠安全） #

如果加密串包含复杂特殊字符（如换行、引号、非ASCII字符），跳过shell直接调用openssl进程，通过标准输入传递加密内容会更可靠，还能避免命令注入风险。

示例代码：

$encryptedPassword = 'your-encrypted-password-from-db';
$decryptionPass = 'your-encryption-password';

// 定义openssl命令的参数数组（无需shell解析）
$cmdArgs = [
    'openssl',
    'enc',
    '-base64',
    '-d',
    '-aes-256-cbc',
    '-salt',
    '-pass',
    "pass:$decryptionPass",
    '-pbkdf2'
];

// 设置管道描述符：stdin可写，stdout/stderr可读
$descriptors = [
    0 => ['pipe', 'r'], // 标准输入：给openssl传加密串
    1 => ['pipe', 'w'], // 标准输出：接收解密结果
    2 => ['pipe', 'w']  // 标准错误：用于调试
];

// 启动openssl进程
$process = proc_open($cmdArgs, $descriptors, $pipes);

if (is_resource($process)) {
    // 将加密串写入openssl的标准输入
    fwrite($pipes[0], $encryptedPassword);
    fclose($pipes[0]);

    // 读取解密后的结果
    $decrypted = stream_get_contents($pipes[1]);
    fclose($pipes[1]);

    // 读取错误信息（调试时用）
    $errorMsg = stream_get_contents($pipes[2]);
    fclose($pipes[2]);

    // 关闭进程并回收资源
    proc_close($process);

    // 处理结果
    $decrypted = trim($decrypted);
}

关键注意事项 #

• 无论用哪种方案，都要确保对动态参数进行安全处理：方案1用escapeshellarg()，方案2直接传递参数数组避免shell解析，防止命令注入攻击。
• 如果解密失败，可以通过读取stderr的内容排查问题（比如密码错误、加密串格式不正确）。
• 方案2不需要依赖shell的管道处理，性能和稳定性更优，适合处理复杂的输入内容。

内容的提问来源于stack exchange，提问作者Derek Dub