本文深入解析PHP中需要禁用的危险函数及其安全风险，提供php.ini配置方法与替代方案，帮助开发者加固Web应用安全。包含具体操作步骤、函数黑名单推荐及防护建议。
一、为什么需要禁用PHP危险函数？
PHP作为动态语言提供了大量内置函数，部分函数可能被攻击者利用执行系统命令、读取敏感文件或进行代码注入。典型风险场景包括：
exec()、system()等函数允许执行操作系统命令eval()可动态执行任意PHP代码file_get_contents()可能读取服务器敏感文件
二、高危函数黑名单
| 函数类别 | 危险函数示例 | 潜在风险 |
|---|---|---|
| 命令执行 | exec, passthru, shell_exec, system, popen |
服务器提权攻击 |
| 代码执行 | eval, assert, create_function |
远程代码注入 |
| 文件操作 | fopen, file_get_contents, unlink |
敏感文件泄露/破坏 |
三、禁用函数的配置方法
1. 修改php.ini配置文件
; 找到disable_functions配置项
disable_functions = "exec,passthru,shell_exec,system,popen,eval,assert,create_function"
2. 通过.htaccess限制（Apache）
php_admin_value disable_functions "exec,system"
3. 运行时检测（PHP脚本）
if (function_exists('exec')) {
die('危险函数已被禁用');
}
四、禁用后的替代方案
- 使用
escapeshellarg()处理外部命令参数 - 用
file()替代file_get_contents()读取可控文件 - 采用
filter_var()进行输入验证
五、验证配置是否生效
创建测试脚本：
<?php
echo "禁用函数检测：<br>";
$dangerous = ['exec', 'system', 'eval'];
foreach ($dangerous as $func) {
echo $func . ': ' . (function_exists($func) ? '启用' : '已禁用') . "<br>";
}
?>通过本文的配置方案，可有效降低PHP应用的攻击面。建议结合其他安全措施如：open_basedir限制、定期更新PHP版本等形成纵深防御体系。
评论