为什么需要关闭PHP高危函数

在部署PHP应用时，部分函数（如exec、shell_exec、system、passthru、proc_open等）允许执行系统命令。若网站代码存在漏洞或被植入恶意脚本，攻击者可能利用这些函数执行系统级操作，导致服务器沦陷、数据泄露或业务中断。通过合理禁用高危函数，可有效降低代码违规操作的风险。

1Panel中的操作方法

一、定位PHP配置文件

在1Panel面板中，进入“网站”->“PHP”页面，选择目标PHP版本（如PHP 8.0、PHP 7.4等），点击“配置文件”按钮，即可打开对应的php.ini编辑界面。

二、编辑disable_functions指令

在配置文件中找到disable_functions项（若不存在，可手动添加）。将其值设置为需要禁用的函数列表，多个函数之间用英文逗号分隔。推荐配置示例：

disable_functions = exec,shell_exec,system,passthru,proc_open,popen,curl_exec,curl_multi_exec,show_source,highlight_file

保存后，1Panel会自动提示重载PHP服务，点击“重载”使配置生效。

三、通过1Panel内置安全工具（若有）

部分1Panel版本提供“安全”或“PHP安全配置”入口，可在界面中直接勾选需要禁用的函数，无需手动编辑配置文件。若您的版本包含该功能，建议优先使用图形化操作，减少误改风险。

注意事项

• 测试兼容性：禁用某些函数可能影响框架或第三方库的正常运行（如Composer、Laravel等）。请在测试环境中验证后，再应用到生产环境。
• 按需禁用：并非所有函数都必须禁止。例如，若网站需要远程请求，则应保留curl_exec，而选择禁用其他更危险的命令执行函数。
• 结合Web防火墙：关闭高危函数是纵深防御的一部分，建议同时开启WAF规则、文件上传扫描等安全措施。
• 定期审计：每次升级PHP版本后，重新检查disable_functions配置是否有效，避免新版本重置默认设置。

验证配置是否生效

可通过一个临时PHP脚本（如info.php）输出phpinfo()，在“disable_functions”字段中查看当前禁用的函数列表。测试完成后立即删除该文件，防止信息泄露。

另一种方式是通过命令行执行 php -m | grep exec 检查，但实际运行环境中的配置仍以phpinfo()为准。

总结

1Panel面板提供了便捷的PHP配置管理能力，通过正确设置disable_functions，可以显著降低攻击面。建议管理员根据业务实际需求，制定最小化函数白名单/黑名单策略，并定期更新安全基线。