如何通过Web界面正确执行带自定义参数的Ansible Playbook？

1. 基础环境准备 #

首先要确保运行PHP的Web服务用户（比如www-data、nginx这类）有执行ansible-playbook的权限，还有对应Playbook文件、inventory文件的读取权限，必要时可以配置sudo免密避免权限阻塞：

• 执行visudo编辑sudoers文件，添加如下规则（替换为实际的Web运行用户和ansible路径）：

www-data ALL=(ALL) NOPASSWD: /usr/bin/ansible-playbook

• 提前把Playbook和inventory放到Web用户可读的固定路径，不要放在Web可访问的站点目录内，避免被下载泄露配置。

2. 前端表单页面开发 #

编写HTML表单，把需要传入的变量做成对应表单字段（文本框、下拉选等），表单用POST方式提交到PHP处理接口，示例代码如下：

<form action="run_playbook.php" method="POST">
  <div>
    <label>城市：</label>
    <input type="text" name="city" required>
  </div>
  <div>
    <label>用户名：</label>
    <input type="text" name="username" required>
  </div>
  <!-- 其他需要的变量字段自行添加 -->
  <button type="submit">执行Playbook</button>
</form>

3. PHP后端逻辑开发 #

核心要注意两个点：参数过滤防止命令注入、命令合法拼接执行

绝对不能直接把用户输入拼接到命令里，必须用escapeshellarg()函数转义所有用户输入的参数，避免恶意用户注入额外命令破坏服务器。

示例PHP代码（run_playbook.php）：

<?php
// 只允许POST请求
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
    die("仅支持POST请求");
}

// 定义允许的变量白名单，过滤非法变量
$allow_vars = ['city', 'username'];
// 定义Playbook固定路径，不暴露给前端
$playbook_path = '/opt/ansible/testplaybook.yaml';
// 定义ansible-playbook的绝对路径
$ansible_bin = '/usr/bin/ansible-playbook';

// 拼接extra-vars参数
$extra_vars = [];
foreach ($_POST as $key => $value) {
    // 仅处理白名单内的变量
    if (in_array($key, $allow_vars)) {
        // 转义变量值防止注入
        $safe_value = escapeshellarg($value);
        $extra_vars[] = "{$key}={$safe_value}";
    }
}

// 拼接完整执行命令，配置了sudo则加上sudo前缀
$command = "sudo {$ansible_bin} {$playbook_path} --extra-vars '" . implode(' ', $extra_vars) . "' 2>&1";

// 执行命令并捕获输出和返回状态
exec($command, $output, $return_var);

// 返回执行结果给前端
echo "<h3>执行结果</h3>";
if ($return_var === 0) {
    echo "<p style='color:green'>Playbook执行成功</p>";
} else {
    echo "<p style='color:red'>Playbook执行失败，错误码：{$return_var}</p>";
}
echo "<pre>执行输出：\n" . implode("\n", $output) . "</pre>";
?>

4. 安全&体验优化建议 #

• 一定要对接用户认证体系，不要让执行接口公开访问，避免未授权人员随意执行Playbook
• 增加执行日志，把每次执行的变量、执行时间、执行结果都存入日志，方便后续排查问题
• 如果Playbook执行时间较长，建议改成异步执行，避免PHP超时，把执行结果存在数据库或者缓存中，前端轮询获取状态
• 不要允许用户传入inventory、Playbook路径这类参数，全部固定在后端代码中，降低风险

内容的提问来源于stack exchange，提问作者PrintSernoal