在Symfony的进程组件里，原生的Process类默认要求命令参数以数组形式传入，这样能从底层避免大部分命令注入问题。但实际开发中，部分场景需要直接传入字符串形式的命令参数，这时候就需要安全地扩展Process类，在保留原有安全机制的同时满足需求。
原生Process类的参数限制
Symfony的Process组件设计初衷是优先保障命令执行的安全性，因此默认构造函数和工厂方法都强制要求命令参数使用数组格式。如果直接传入字符串，会触发参数校验异常，核心原因是字符串参数如果没有经过严格的转义处理，很容易被恶意拼接额外命令，造成命令注入漏洞。
比如下面这种直接传入字符串的写法会直接报错：
<?php
use SymfonyComponentProcessProcess;
// 这种写法会抛出异常
$process = new Process('ls -la /tmp');
$process->run();
安全扩展的核心原则
扩展Process类时，不能为了支持字符串参数就跳过原有的安全校验逻辑，需要遵循两个核心原则：
- 所有传入的字符串命令参数必须经过严格的转义处理，避免特殊字符被解析为命令分隔符
- 保留原生Process类的参数校验逻辑，仅在转义完成后将字符串拆分为合规的数组参数传入父类构造方法
扩展Process类的实现步骤
1. 创建自定义Process子类
首先创建一个继承原生Process类的自定义类，新增支持字符串参数的构造方法：
<?php
namespace AppProcess;
use SymfonyComponentProcessProcess as BaseProcess;
use SymfonyComponentProcessExceptionInvalidArgumentException;
class SafeStringProcess extends BaseProcess
{
/**
* 支持字符串命令参数的构造方法
* @param string $commandString 完整的字符串命令
* @param string|null $cwd 工作目录
* @param array|null $env 环境变量
* @param mixed $input 输入内容
* @param float|null $timeout 超时时间
*/
public function __construct(
string $commandString,
string $cwd = null,
array $env = null,
$input = null,
?float $timeout = 60
) {
// 对字符串命令进行转义处理
$escapedCommand = $this->escapeCommandString($commandString);
// 将转义后的字符串拆分为数组参数
$commandArray = $this->parseCommandToArray($escapedCommand);
// 调用父类构造方法传入数组参数
parent::__construct($commandArray, $cwd, $env, $input, $timeout);
}
/**
* 转义字符串命令中的特殊字符
* @param string $command 原始命令字符串
* @return string 转义后的命令字符串
*/
private function escapeCommandString(string $command): string
{
// 替换命令中的特殊字符，避免被解析为命令分隔符
$escaped = str_replace(
['&', '|', ';', '`', '$', '(', ')', '{', '}', '~', '!', '#', '^', '*', '[', ']', '?', '\', ''', '"'],
['&', '|', ';', '`', '$', '(', ')', '{', '}', '~', '!', '#', '^', '*', '[', ']', '?', '\', ''', '"'],
$command
);
return $escaped;
}
/**
* 将转义后的命令字符串拆分为数组
* @param string $command 转义后的命令字符串
* @return array 命令参数数组
*/
private function parseCommandToArray(string $command): array
{
// 使用正则匹配带引号的参数和普通参数
preg_match_all('/"[^"]*"|'[^']*'|[^"'s]+/', $command, $matches);
$args = [];
foreach ($matches[0] as $arg) {
// 去掉参数两端的引号
$args[] = trim($arg, '"'');
}
if (empty($args)) {
throw new InvalidArgumentException('命令字符串解析后为空，请检查命令格式');
}
return $args;
}
/**
* 静态工厂方法，方便调用
* @param string $commandString 字符串命令
* @return static
*/
public static function fromString(string $commandString): self
{
return new self($commandString);
}
}
2. 验证扩展类的使用效果
使用扩展后的类传入字符串命令参数，测试是否能正常执行且不存在安全问题：
<?php
use AppProcessSafeStringProcess;
// 正常执行字符串命令
$process = SafeStringProcess::fromString('ls -la /tmp');
$process->run();
if ($process->isSuccessful()) {
echo $process->getOutput();
} else {
echo $process->getErrorOutput();
}
// 尝试注入恶意命令，会被转义处理，不会执行额外命令
$maliciousCommand = 'ls -la /tmp & rm -rf /';
$process2 = SafeStringProcess::fromString($maliciousCommand);
$process2->run();
// 实际只会执行转义后的ls命令，不会执行rm操作
注意事项
即使做了转义处理，也不要直接拼接用户输入的内容到命令字符串中，最好先对用户输入的参数做白名单校验，只允许符合预期的内容传入命令。另外扩展后的类需要做好单元测试，覆盖各种特殊字符和边界场景，确保转义逻辑没有遗漏。如果业务场景允许，还是优先使用原生Process类的数组参数形式，安全性更有保障。