PHP 8.5迁移时替换反引号执行命令

PHP 8.5 迁移时，代码里的反引号执行表达式应优先替换为 shell_exec()；如果业务还要判断外部命令是否成功，则直接改用 exec() 或 proc_open()，不要只把符号换成函数名。这样既能消除弃用提示，也能把原来隐藏的退出码、参数转义和失败处理补齐。

官方资料：https://www.php.net/releases/8.5/en.php

先判断旧代码真正需要什么结果

旧代码常见写法是 $output = `php worker.php`;。它本质上等价于 shell_exec('php worker.php')，返回的是命令的完整标准输出，而不是退出码。迁移前先把调用点分成三类：页面只展示文本、日志只记录文本，或者后续逻辑要根据命令成功与否分支。

第一类可以做最小改动；第二类要关注无输出和执行失败都可能表现为 null；第三类不能停留在 shell_exec()，应把退出码纳入接口设计。

只需要命令输出时替换为 shell_exec

如果原表达式只负责拿文本，推荐保留同样的业务语义，并显式处理 string|false|null 边界。命令本身应尽量固定，动态文件名或筛选词不能直接拼进 shell 字符串。

不要把 escapeshellarg() 当成权限控制。生产环境仍应限制可执行程序、工作目录和运行账号；如果命令输出可能很大，也要评估内存占用，避免把无限增长的 stdout 一次性读进 PHP 进程。

需要成功状态时改用 exec 或 proc_open

shell_exec() 的缺点是不能可靠地告诉调用方外部程序的退出码。迁移过程中若原代码其实把“有输出”误当成“执行成功”，应顺手修正为显式检查退出码。

需要同时读取 stdout、stderr、持续消费管道或主动终止子进程时，再升级为 proc_open()。这不是为了“替换得更复杂”，而是因为调用方已经需要进程生命周期控制。

迁移后的检查清单与常见边界

回归至少覆盖命令成功且有输出、命令成功但无输出、命令失败三种结果；另外检查 CLI 与 Web 运行账号是否拥有相同的执行权限。PHP 手册还提醒，禁用 shell_exec() 时反引号也不可用，因此迁移后不能绕过既有的 disable_functions 配置。

相关问题

PHP 8.5 会立刻删除反引号吗？

不会，PHP 8.5 先将其标记为弃用。迁移代码仍应尽早替换，避免弃用提示进入日志或在后续大版本升级时集中暴露。

shell_exec 能判断命令是否成功吗？

不能可靠判断。它主要返回文本；需要退出码时使用 exec()，需要更完整的进程控制时使用 proc_open()。

为什么只改成 shell_exec 仍然不安全？

因为 shell_exec 仍会通过 shell 执行命令。动态参数必须按参数边界转义，并限制命令来源、运行身份和可访问目录。

实际迁移可以先全局搜索反引号，再按“只取输出”与“需要状态”分组修改。完成三组回归后，PHP 8.5 的弃用提示、返回值误判和参数拼接风险就能分别被定位，而不是混在一次替换中。