Debian Bookworm下PHP执行systemctl重启/关机命令权限被拒问题求助

我来帮你排查下这个权限问题，你遇到的情况我维护Web服务器时也碰到过几次，咱们一步步来理清问题所在：

首先得明确核心：www-data（Apache/PHP的运行身份）本身没有直接执行关机、重启的权限，必须通过sudo提权，但你的配置可能在路径、命令写法或者系统安全机制上有遗漏。

第一步：先检查PHP代码里的exec命令写法 #

你是不是直接在PHP里写了exec('systemctl reboot')？这肯定不行，因为www-data没权限直接调用systemctl，必须加上sudo，还要指定绝对路径（避免环境变量的坑）。正确的写法应该是：

// 把错误信息也捕获到，方便排查问题
exec('sudo /usr/bin/reboot 2>&1', $output, $return_var);
// 可以打印输出和返回值看具体错误
var_dump($output);
var_dump($return_var);

第二步：确认sudoers配置的正确性 #

你提到已经加了sudoers规则，但可能存在两个常见问题：

1. 路径不对：Debian Bookworm里，reboot和poweroff的实际路径可能不是/sbin，现在很多发行版把这些命令移到了/usr/bin。你可以在终端执行以下命令确认实际路径：

which reboot
which poweroff

2. 配置语法或顺序问题：
   • 必须用visudo命令编辑sudoers文件（它会自动检查语法，避免你写错导致sudo直接失效）：

     sudo visudo
     

   • 把规则加在文件的最后一行（sudoers的规则是后写的覆盖先写的，如果前面有对www-data的限制规则，会优先生效），比如实际路径是/usr/bin的话，添加：

     www-data ALL=NOPASSWD:/usr/bin/poweroff,/usr/bin/reboot
     

   • 保存退出后，先在终端测试www-data的sudo权限是否生效：

     sudo -u www-data sudo /usr/bin/reboot
     

     如果这个命令不需要输入密码就能执行（或者提示重启相关的系统信息），说明sudo配置没问题了。

第三步：检查AppArmor的限制 #

Debian Bookworm默认启用了AppArmor安全机制，可能会限制Apache/PHP进程执行sudo或关机重启命令。你可以先临时切换到宽容模式测试：

sudo aa-complain /etc/apparmor.d/usr.sbin.apache2

然后再执行PHP的exec命令，如果能正常执行了，说明是AppArmor在限制。这时候你需要修改AppArmor的配置来允许相关操作：

1. 编辑Apache的AppArmor配置文件：

   sudo nano /etc/apparmor.d/usr.sbin.apache2
   

2. 在文件里添加允许执行这两个命令的规则（放在其他/usr/bin/规则附近即可）：

   /usr/bin/reboot ix,
   /usr/bin/poweroff ix,
   

3. 重新加载AppArmor配置：

   sudo apparmor_parser -r /etc/apparmor.d/usr.sbin.apache2
   

额外提醒 #

给www-data无密码执行关机重启的权限有一定安全风险，建议你在Web界面上加一层严格的身份验证（比如强密码、IP白名单），避免被恶意利用。

备注：内容来源于stack exchange，提问作者Borg Drone