如何通过PHP代码安全执行Windows命令并运行服务器端.exe程序

直接编写你提到的代码会存在以下问题 #

• 语法错误：exec() 函数要求传入的命令为字符串格式，你未对命令内容加引号包裹，同时PHP字符串中反斜杠本身是转义符，直接拼接Windows路径会出现解析错误
• 安全风险：未做转义直接拼接变量执行命令，会存在命令注入漏洞，如果$input/$file_name/$output是用户可控的参数，攻击者可以构造特殊值执行任意系统命令，完全控制服务器
• 可靠性问题：未指定build.exe的绝对路径时，如果PHP的工作目录和exe存放目录不一致，会出现找不到程序的报错，也没有捕获执行返回状态和报错信息，出问题很难排查

修正后的安全实现代码 #

<?php
// 1. 固定build.exe的绝对路径，避免找不到程序
$buildExePath = 'C:\\path\\to\\build.exe';
// 2. 业务参数建议提前做白名单校验，比如限制文件名只能包含字母、数字、下划线、点
$inputDir = 'C:\\route\\to\\file\\input'; // 固定输入目录，避免目录遍历
$fileName = 'something.file';
$outputPath = 'C:\\route\\to\\output\\output.file'; // 固定输出路径，或严格校验输出路径合法性

// 3. 所有命令参数用escapeshellarg()转义，Windows环境下会自动处理空格、特殊字符，避免注入
$command = escapeshellcmd($buildExePath) . ' ' 
    . escapeshellarg($inputDir . DIRECTORY_SEPARATOR . $fileName) 
    . ' -o ' 
    . escapeshellarg($outputPath);

// 4. 执行命令同时捕获输出和返回状态，方便排查问题
$outputLog = [];
$returnVar = 0;
exec($command, $outputLog, $returnVar);

// 5. 根据返回状态判断是否执行成功，0一般代表执行成功
if ($returnVar === 0) {
    echo "命令执行成功";
    // 业务逻辑处理，可按需读取输出日志：var_dump($outputLog);
} else {
    echo "命令执行失败，错误码：" . $returnVar;
    // 打印错误日志排查问题
    var_dump($outputLog);
}
?>

额外注意事项 #

• 先确认php.ini配置中没有禁用exec、shell_exec这类命令执行函数，很多生产环境默认会禁用高危函数
• 运行PHP的系统用户（比如IIS应用池身份、Apache运行用户）需要拥有build.exe的执行权限，以及输入、输出目录的读写权限
• 如果build.exe执行时间较长，需要提前调整php.ini中的max_execution_time配置，避免PHP执行超时中断
• 所有用户传入的参数必须做严格的格式校验和路径限制，禁止用户跳转到指定目录之外操作文件，进一步降低安全风险

内容的提问来源于stack exchange，提问作者Spatial Digger