安全运行未知PHP代码的方法及隔离指南

安全运行未知PHP代码需采用隔离环境：一、Docker容器沙箱，限制网络、文件系统与权限；二、PHP CLI受限模式，禁用危险函数并关闭远程访问；三、Firejail系统调用级拦截，屏蔽/proc、/sys及网络；四、可信在线沙箱服务，设超时、内存上限并自动清理。

如果您需要测试或分析一段来源不明的PHP代码，直接在生产环境或本地服务器上执行可能带来严重安全风险。以下是几种在隔离环境中安全运行未知PHP代码的方法：

一、使用Docker容器创建临时沙箱环境

Docker可提供轻量级、进程级隔离，确保PHP代码无法访问宿主机文件系统、网络或其他资源。通过限制权限和资源配额，能有效遏制恶意行为。

1、安装Docker Desktop或Docker Engine（根据操作系统选择对应版本）。

2、创建最小化PHP运行目录，例如新建php-sandbox文件夹，并在其中放入待测的test.php文件。

3、在该目录下新建Dockerfile，内容为：
FROM php:8.2-cli-alpine
COPY test.php /app/test.php
WORKDIR /app
CMD ["php", "test.php"]

4、执行命令构建并立即运行一次性的隔离容器：
docker build -t php-sandbox . && docker run --rm --network none --read-only -v $(pwd):/app:ro php-sandbox

5、确认输出后，容器自动销毁，所有写入操作被禁止，网络完全禁用，挂载为只读。

二、启用PHP内置SAPI的受限模式

PHP CLI自带-n（不加载php.ini）、-d（覆盖配置项）参数，可关闭危险函数与外部交互能力，形成内存级隔离。

1、检查目标PHP二进制路径，例如/usr/bin/php或php --ini确认配置位置。

2、执行以下命令启动无扩展、无配置、功能阉割的PHP解释器：
php -n -d disable_functions="exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec" -d allow_url_fopen=Off -d allow_url_include=Off -d open_basedir=/tmp:/var/tmp test.php

3、将待测代码保存为test.php，确保其仅使用基础语法与内置数学/字符串函数。

4、运行后观察标准输出与错误信息，任何试图调用禁用函数的操作将直接报错终止，且无法读取/写入指定路径以外的文件。

三、利用Firejail沙箱限制系统调用

Firejail是基于Linux命名空间与seccomp-bpf的强制访问控制工具，可在用户态拦截危险系统调用，比chroot更细粒度、比容器更轻量。

1、在Ubuntu/Debian系统中安装： sudo apt install firejail；在CentOS/RHEL中： sudo yum install firejail。

2、创建专用执行目录/tmp/php-test，仅放入test.php与最小依赖文件。

3、运行命令启动受限沙箱：
firejail --private=/tmp/php-test --no3d --nodvd --noprograms --net=none --seccomp --caps.drop=all --blacklist=/proc --blacklist=/sys php test.php

4、验证沙箱状态：执行过程中无法访问/proc与/sys，所有网络接口被屏蔽，图形与设备驱动被禁用，且无任何Linux能力位授权。

四、借助在线PHP沙箱服务进行远程隔离

部分开源可部署的Web端PHP沙箱（如phpsandbox、php-code-executor）支持HTTP API调用，适用于无法本地搭建环境的场景，但需注意代码上传风险。

1、从GitHub克隆可信项目，例如git clone https://github.com/hoaproject/Compiler.git（仅作语法解析）或部署phpsandbox的Docker版。

2、修改其配置文件，设置超时为5s、内存上限为32M、禁用extension_dir与include_path。

3、启动服务后，通过curl提交代码：
curl -X POST http://localhost:8080/execute -H "Content-Type: application/json" -d '{"code":""}'

4、接收JSON响应中的stdout字段，服务端自动清理执行上下文，不保留任何会话或临时文件，且未启用任何PHP扩展模块。