PHP 必須禁用的危險函數清單與 php.ini 設定指南

為什麼要禁用危險函數

PHP 內建多種可執行系統指令、操作檔案系統、修改執行環境的函數。若伺服器遭駭或程式碼注入，攻擊者可利用這些函數執行任意指令、竊取檔案、提權、植入後門。在 php.ini 設定 disable_functions 是最基礎的防禦縱深措施。

高風險函數分級表

建議的 disable_functions 設定

; php.ini
disable_functions = exec,shell_exec,system,passthru,proc_open,proc_get_status,popen,pcntl_exec,chroot,chgrp,chown,symlink,dl,ini_set,ini_alter,ini_restore,putenv,phpinfo,scandir,readlink,syslog,pfsockopen,fsockopen,stream_socket_server

說明：

• 以逗號分隔，不需空白。
• 若專案確需部分函數（如 exec 用於匯出報表），請評估風險、限制參數、改用非阻塞佇列或獨立 Worker 機制，切勿直接開放。
• PHP 7.4+ 已移除 dl、ini_alter 等，設定時會被忽略，無害。

驗證禁用生效

<?php
var_dump(function_exists('exec')); // bool(false)
var_dump(ini_get('disable_functions'));

補充防禦措施

1. open_basedir：限制腳本可存取的目錄樹，防止目錄遍歷。
2. suhosin / Snuffleupagus：進階 PHP 安全擴充，提供更細緻的函數呼叫控制、評估器防護。
3. 禁用危險類別：disable_classes 可禁用 COM、DOTNET 等。
4. 容器化隔離：以 Docker/K8s 限制系統呼叫、檔案系統、網路命名空間。
5. 最小權限原則：PHP-FPM 以非 root、專用使用者執行；目錄權限 755/644，上傳目錄禁用執行位元。