PHP7.1中exec执行sudo -u root命令失败，PHP5.3环境正常求助

我之前也碰到过类似跨PHP版本迁移时sudo执行异常的情况，结合你的场景（同一服务器不同域名、PHP5.3正常7.1失败），咱们一步步排查：

1. 先排查PHP运行用户的sudo权限差异 #

旧PHP5.3的站点大概率用的是服务器默认的web用户（比如www-data），而新的PHP7.1站点如果是按域名隔离部署的，可能用了单独的运行用户（比如your_domain_user）。这个新用户很可能没被配置sudo权限：

• 打开sudoers配置（用visudo命令，别直接编辑文件），检查是否有针对新用户的规则，比如：

  your_domain_user ALL=(root) NOPASSWD: /full/path/to/some_command
  

  （强烈建议用NOPASSWD，避免明文密码文件带来的安全风险，旧环境用密码文件其实是个隐患）
• 如果必须保留密码验证，还要确保sudo没有强制要求tty：在sudoers里加Defaults !requiretty（或者针对该用户单独配置），因为PHP7.1的FPM进程通常没有交互式tty，这是常见的失败原因。

2. 检查密码文件的权限与SELinux限制 #

• 密码文件/path/to/secret/password/file的权限：新PHP7.1的运行用户有没有读权限？可以用ls -l /path/to/secret/password/file看所有者和权限，再用ps aux | grep php-fpm找到新站点的FPM用户，对比一下。
• 如果服务器开了SELinux，可能限制了web进程读取该文件：临时执行setenforce 0关闭SELinux测试，如果命令能正常运行，就需要给密码文件添加正确的SELinux上下文，比如chcon -t httpd_sys_rw_content_t /path/to/secret/password/file。

3. 排查PHP7.1的安全配置与环境变量 #

• 检查php.ini里的disable_functions，确认exec没被禁用（虽然你说命令能执行，但还是确认下）；
• 把命令里的some_command改成绝对路径试试，比如/usr/bin/some_command——PHP7.1的exec环境PATH可能和旧版本不同，导致找不到命令；
• 捕获exec的错误输出，直接看具体报错：

  exec("sudo -u root -S some_command < /path/to/secret/password/file 2>&1", $output, $return_code);
  print_r($output);
  echo "返回码：".$return_code;
  

  比如如果输出是sorry, you must have a tty to run sudo，那就是tty限制的问题；如果是permission denied，就是权限问题。

4. 检查sudo版本的行为变化 #

如果服务器的sudo版本在迁移期间更新过，-S参数读取标准输入的行为可能有变化：

• 确认密码文件末尾有没有换行符：有些新版本sudo要求密码必须以换行结尾，旧文件可能只有密码没有换行，导致验证失败；
• 临时用echo 'your_password' | sudo -u root -S some_command测试，如果能成功，说明是密码文件的格式问题。

5. 查看系统日志找线索 #

这是最直接的方法：

• 看sudo的日志：Debian/Ubuntu是/var/log/auth.log，CentOS/RHEL是/var/log/secure，里面会明确记录sudo失败的原因（比如用户无权限、密码错误、tty限制等）；
• 看PHP的错误日志，里面可能有exec执行时的警告或错误信息。

内容的提问来源于stack exchange，提问作者Engle