PHP komandinėje eilutėje (CLI)

Trumpai: PHP CLI (Command Line Interface) yra PHP variantas komandinei eilutei. Ji vykdo skriptus be žiniatinklio serverio, pavyzdžiui, cron užduotims, Composer ar priežiūros užduotims. Ji turi savas numatytąsias reikšmes, dažnai savą php.ini ir kartais net kitokią versiją nei svetainė. Todėl php -v nėra patikimas įrodymas, kad svetainė po PHP2Shell pataisyta.

Kas yra PHP CLI?

PHP vadove nurodytos dvi pagrindinės PHP taikymo sritys: skriptai svetainėms ir skriptai komandinėje eilutėje. Pastarajam skirta atskira SAPI, vadinama cli. Jai nereikia nei žiniatinklio serverio, nei naršyklės, tik PHP interpretatoriaus. Pasak vadovo, ji ypač tinka užduotims, kurios reguliariai vykdomos per cron sistemoje Linux arba per užduočių planuoklį sistemoje Windows.

Tipiniai pavyzdžiai įmonės kasdienybėje: naktiniai importai parduotuvėje, naujienlaiškių siuntimas, talpyklų valymas, atnaujinimai per Composer arba CMS komandinės eilutės įrankiai, tokie kaip WP-CLI ar Symfony konsolė. Sistemoje Windows failas vadinasi php.exe, o CGI variantas php-cgi.exe.

Skirtingai nei PHP-FPM, CLI nėra tarnyba. Kiekvienas iškvietimas paleidžia naują procesą, pasak vadovo, iš naujo nuskaito konfigūraciją ir baigiasi, kai skriptas įvykdytas. Todėl po atnaujinimo paleisti iš naujo nereikia. Išimtys yra ilgai veikiantys procesai, paleisti per CLI, pavyzdžiui, karkasų eilių darbiniai procesai ar demonai (daemon) su systemd arba Supervisor. Jie dienų dienas veikia su vieną kartą įkeltu interpretatoriumi ir po PHP atnaujinimo turi būti paleisti iš naujo lygiai taip pat kaip žiniatinklio darbiniai procesai.

Vadovybei ir projektų vadovams tai reiškia: ir fono užduotys priklauso inventoriui bei kiekvienam atnaujinimo planui.

Kuo CLI skiriasi nuo žiniatinklio versijos?

Pasak vadovo, CLI kai kuriuos nustatymus perrašo fiksuotai. Jų negalima pakeisti per php.ini, tik vykdymo metu per ini_set():

Dar vienas skirtumas: CLI nekeičia katalogo į skripto katalogą. Kas iš /tmp iškviečia php -f ordner/skript.php, toliau dirba /tmp. Todėl santykiniai keliai cron užduotyse yra dažnas klaidų šaltinis.

Mažas skriptas, kuris turi veikti tik komandinėje eilutėje:

<?php
if (PHP_SAPI !== 'cli') {
    http_response_code(403);
    exit('Nur für die Kommandozeile.');
}
$tage = (int) ($argv[1] ?? 30);
$grenze = time() - $tage * 86400;
$alt = 0;
foreach (glob(__DIR__ . '/cache/*.tmp') ?: [] as $datei) {
    if (filemtime($datei) < $grenze) { $alt++; }
}
fwrite(STDOUT, "Dateien älter als $tage Tage: $alt\n");

PHP_SAPI patikra neleidžia priežiūros skripto paleisti per naršyklę, jei jis netyčia atsidurtų žiniatinklio kataloge. Vadovas aiškiai pataria SAPI tikrinti taip, o ne pasikliauti $argv buvimu.

Svarbiausios PHP CLI parinktys

Toliau pateiktos parinktys paimtos iš PHP vadovo parinkčių apžvalgos ir yra ypač naudingos administratoriams:

1. php -v rodo CLI versijos numerį.
2. php --ini rodo, kurie konfigūracijos failai įkeliami.
3. php -m išvardija sukompiliuotus ir įkeltus modulius.
4. php -i iškviečia phpinfo() ir rezultatą išveda kaip tekstą.
5. php -l datei.php tikrina tik sintaksę (lint). Nuo PHP 8.3 ir keliems failams iš karto.
6. php -r 'code' vykdo kodą tiesiogiai, be <?php.
7. php -d name=wert nustato INI nustatymą šiam iškvietimui.
8. php -n visiškai ignoruoja php.ini.
9. php --ri name rodo plėtinio konfigūraciją.

php --ini
php -m | grep -i -E "opcache|sodium|pdo"
php --ri session | grep upload_progress
php -l src/Controller.php src/Model.php

Įtaisytasis žiniatinklio serveris: tik kūrimui

Su php -S localhost:8000 CLI paleidžia mažą žiniatinklio serverį. Vadovo pavyzdinėje išvestyje kaip atspirties taškas nurodytas PHP 5.4.0. Vadovas aiškus: serveris skirtas kūrimui, nėra visavertis žiniatinklio serveris ir neturi veikti viešuose tinkluose bei gamyboje. Jei jis serveryje veikia nuolat ir yra pasiekiamas iš išorės, tai radinys, kurį reikėtų pašalinti.

CLI, cron ir saugumas po PHP2Shell

Žinomuose PHP2Shell pranešimuose kaip paveikti veikimo režimai minimi PHP-FPM, mod_php, php-cgi, FrankenPHP ir LiteSpeed. CLI neapdoroja užklausų iš tinklo. Saugumui ji vis tiek svarbi trimis požiūriais:

• Klaidingas įrodymas: php -v rodo CLI versiją. Svetainė gali naudoti kitą versiją, o distribucijų backport rodomo numerio dažnai nepakeičia. Kaip teisingai įrodyti būseną, aprašyta skyriuje PHP versijos ir pataisų būsenos patikra ir straipsnyje Kodėl php -v rodo tą patį numerį.
• Išlikimas per cron: po įsilaužimo užpuolikai mėgsta naudoti cron užduotis, kurios reguliariai paleidžia PHP skriptą. Paieškos patarimai pateikti straipsnyje Paslėptų cron užduočių kaip užpakalinių durų atpažinimas.
• Tas pats paketas: CLI dažniausiai ateina iš to paties paketų šaltinio kaip PHP-FPM ir priklauso atnaujinimui.

Kaip PHP SOS padeda konkrečiai?

• Versijų palyginimas: lyginame CLI ir žiniatinklio būseną ir įrodome, kurią versiją jūsų svetainė iš tikrųjų teikia.
• Cron užduočių patikra: išvardijame visas visų naudotojų suplanuotas PHP užduotis ir priskiriame jas programoms.
• Priežiūros apsauga: priežiūros skriptus perkeliame iš žiniatinklio katalogo ir nustatome SAPI patikras.
• Nuolatinė priežiūra: saugumo priežiūros sutartyje CLI, žiniatinklio SAPI ir cron užduotis laikome atnaujintas kartu.

Dažni klausimai

Šaltiniai

• PHP vadovas: PHP komandinėje eilutėje
• PHP vadovas: CLI SAPI skirtumai
• PHP vadovas: CLI parinktys
• PHP vadovas: įtaisytasis žiniatinklio serveris