在PHP中判断一个文件是否可执行，核心在于读取文件在操作系统层面的权限信息，而不是依靠文件后缀或者内容类型去猜测。类Unix系统中，文件权限由十位权限位表示，其中专门有一位标记 owner、group、other 是否具备执行权。PHP提供了一系列函数可以拿到这些信息，我们只要做正确的位运算就能得出结论。
一、使用 fileperms 获取原始权限
fileperms 函数会返回文件的状态权限字段，这个值包含了文件类型和完整的权限位。在Linux下，它本质上对应 stat 系统调用里的 st_mode 字段。我们需要用十六进制掩码把执行权限位提取出来。
PHP已经预定义了三组执行权限常量：EXECUTE_BY_OWNER（0400）、EXECUTE_BY_GROUP（0040）、EXECUTE_BY_OTHER（0004）。如果你只关心文件 owner 是否能执行，就只用 owner 那一位；如果PHP进程以 other 身份运行，则需看 other 位。下面是一段基础检测代码：
<?php
$file = '/var/www/script.sh';
if (!file_exists($file)) {
die('文件不存在');
}
$perms = fileperms($file);
// 判断 owner 是否有执行权限
$ownerExec = ($perms & 0100) ? true : false;
// 判断 group 是否有执行权限
$groupExec = ($perms & 0010) ? true : false;
// 判断 other 是否有执行权限
$otherExec = ($perms & 0001) ? true : false;
echo 'owner可执行：' . ($ownerExec ? '是' : '否') . PHP_EOL;
echo 'group可执行：' . ($groupExec ? '是' : '否') . PHP_EOL;
echo 'other可执行：' . ($otherExec ? '是' : '否') . PHP_EOL;
?>
上面的代码直接对 fileperms 的结果做按位与操作。注意权限数字在PHP里要用八进制写法（带前导0），例如 0100 代表 owner 执行位。这种方式非常轻量，不触发任何外部命令，纯PHP内部实现，适合在高并发场景里做快速过滤。
不过它只能看出权限位有没有打开，并不能保证真实能执行。例如文件所在文件系统被挂载为 noexec，或者SELinux策略禁止了该文件执行，权限位明明是开的却依然跑不起来。因此权限检测应作为第一道关卡，而不是唯一依据。
二、结合执行用户身份综合判断
很多初学者误以为只要 other 位有执行权限就万事大吉，其实PHP进程以哪个用户运行直接决定了它该看哪一位。可以通过 posix_getuid 与文件 owner uid 对比，精准选择需要检测的位。
下面示例展示如何动态判断当前PHP进程对该文件是否具备执行权，而不是机械地打印三个角色：
<?php
$file = '/var/www/script.sh';
$stat = stat($file);
$perms = $stat['mode'];
$fileUid = $stat['uid'];
$fileGid = $stat['gid'];
$currentUid = posix_getuid();
$currentGid = posix_getgid();
if ($currentUid === $fileUid) {
$canExec = (bool)($perms & 0100);
} elseif ($currentGid === $fileGid) {
$canExec = (bool)($perms & 0010);
} else {
$canExec = (bool)($perms & 0001);
}
echo $canExec ? '当前用户可执行该文件' : '当前用户不可执行该文件';
?>
这段代码先用 stat 一次性拿到 uid、gid 和 mode，再通过 posix 扩展获取当前进程身份。逻辑上完全模拟了操作系统自身的权限校验顺序：先匹配 owner，再匹配 group，最后看 other。这样写出来的检测函数放到任何部署环境下都不会误报。
需要提醒的是，posix 扩展在Windows上通常不可用，如果项目要跨平台，应当用 function_exists 做兼容处理，在Windows下退化为只判断文件扩展名或调用 is_executable。
三、is_executable 函数的局限与配合用法
PHP其实自带了 is_executable 函数，它会调用系统级的 access 判断，返回当前进程能否执行该文件。听起来比自己算权限位更省事，但它在不同系统表现不一致。
在Linux上 is_executable 确实综合了权限位与文件系统挂载参数，比单纯看 fileperms 更贴近真实情况；但在某些旧版本PHP的Windows构建中，它对无扩展名或 .bat 文件的判断并不可靠。因此推荐写检测逻辑时双管齐下：
<?php
function php_can_run_file($path) {
if (!file_exists($path)) {
return false;
}
// 系统级判断
if (function_exists('is_executable') && is_executable($path)) {
return true;
}
// 权限位兜底判断
$perms = @fileperms($path);
if ($perms === false) {
return false;
}
if (strtoupper(substr(PHP_OS, 0, 3)) === 'WIN') {
$ext = strtolower(pathinfo($path, PATHINFO_EXTENSION));
return in_array($ext, ['exe', 'bat', 'cmd']);
}
return (bool)($perms & 0111);
}
var_dump(php_can_run_file('/usr/bin/python3'));
?>
上面的函数先信任系统调用，再用权限位和平台特征兜底。0111 是 owner、group、other 执行位的或值，表示只要任意一类身份有执行权就返回真。这种组合策略在写定时任务管理器、插件加载器时非常实用，既避免漏判，也减少误杀。
最后强调，文件权限检测只是安全链路的一环。即便判断出可执行，运行前也应校验文件来源、做沙箱限制，防止被执行文件被篡改引发更大风险。