CentOS7下PHP通过shell_exec调用journalctl的权限授予方案

确认PHP实际运行用户 #

虽然你通过shell_exec('whoami')得到admin，但建议在服务器终端进一步验证PHP的运行用户：

• 若使用Apache（httpd）：执行ps aux | grep httpd，查看输出第一列的用户
• 若使用PHP-FPM：执行ps aux | grep php-fpm，查看进程所属用户

CentOS7中Apache默认运行用户是apache，而非Debian系的www-data，这可能是你之前配置无效的原因之一。

正确配置sudoers权限 #

关键注意事项 #

• 禁止直接编辑/etc/sudoers，必须用visudo工具或编辑/etc/sudoers.d/下的文件，避免语法错误导致sudo功能失效
• /etc/sudoers.d/目录下的文件权限必须设为0440，否则sudo会忽略该文件

配置步骤 #

1. 创建并编辑sudo规则文件（例如/etc/sudoers.d/php_journalctl）：

   visudo -f /etc/sudoers.d/php_journalctl
   

2. 根据PHP实际运行用户添加规则：
   • 若运行用户为admin：

     admin ALL=(ALL) NOPASSWD: /usr/sbin/journalctl
     

   • 若运行用户为apache：

     apache ALL=(ALL) NOPASSWD: /usr/sbin/journalctl
     

3. 保存退出后，设置正确的文件权限：

   chmod 0440 /etc/sudoers.d/php_journalctl
   

验证权限配置 #

• 在PHP中执行shell_exec("sudo -l")，查看返回结果是否包含/usr/sbin/journalctl的权限条目
• 或在服务器终端切换到PHP运行用户后验证：

  su - admin -c "sudo -l"
  

无需sudo的替代方案 #

如果不想使用sudo，可将PHP运行用户加入systemd-journal组，直接获取全量日志权限：

1. 将用户加入组：

   usermod -aG systemd-journal admin
   

   （若运行用户是apache，替换为apache即可）
2. 重启相关服务使组权限生效：

   # Apache用户执行
   systemctl restart httpd
   # PHP-FPM用户执行
   systemctl restart php-fpm
   

3. 之后直接调用shell_exec('journalctl [你的日志过滤参数]')即可，无需添加sudo前缀。

排查之前配置失效的常见原因 #

• 错误使用了Debian系的www-data用户，CentOS7中Apache默认用户是apache
• /etc/sudoers.d/admin文件权限未设为0440，导致sudo忽略该配置
• 编辑sudoers文件时存在语法错误，可通过visudo -c检查所有sudoers文件的语法正确性：

  visudo -c
  

内容的提问来源于stack exchange，提问作者serguei