PHP på kommandolinjen (CLI)

Kort sagt: PHP CLI (Command Line Interface) er PHP-varianten til kommandolinjen. Den udfører scripts uden webserver, f.eks. til cronjobs, Composer eller vedligeholdelsesopgaver. Den har egne standardværdier, ofte en egen php.ini og undertiden endda en anden version end websitet. Derfor er php -v intet pålideligt bevis for, at websitet er patchet efter PHP2Shell.

Hvad er PHP CLI?

PHP-manualen nævner to hovedanvendelser af PHP: scripts til websites og scripts på kommandolinjen. Til det sidste findes en egen SAPI med navnet cli. Den kræver hverken webserver eller browser, kun PHP-fortolkeren. Ifølge manualen egner den sig især til opgaver, der regelmæssigt kører via cron under Linux eller via opgaveplanlæggeren under Windows.

Typiske eksempler i virksomhedens hverdag: natlige importer i shoppen, udsendelse af nyhedsbreve, rydning af caches, opdateringer via Composer eller kommandolinjeværktøjerne i CMS-systemer som WP-CLI eller Symfony-konsollen. Under Windows hedder filen php.exe, CGI-varianten php-cgi.exe.

I modsætning til PHP-FPM er CLI ikke en tjeneste. Hvert kald starter en ny proces, læser ifølge manualen konfigurationen på ny og slutter, når scriptet er færdigt. En genstart efter en opdatering er derfor ikke nødvendig. Undtagelser er langtkørende processer, der startes via CLI, f.eks. kø-workere i frameworks eller dæmoner under systemd eller Supervisor. De kører i dagevis med den én gang indlæste fortolker og skal efter en PHP-opdatering genstartes på samme måde som web-workere.

For direktionen og projektledelsen betyder det: Også baggrundsopgaver hører med i oversigten og i hver opdateringsplan.

Hvordan adskiller CLI sig fra webversionen?

Ifølge manualen overskriver CLI nogle indstillinger fast. De kan ikke ændres via php.ini, kun under kørsel med ini_set():

En yderligere forskel: CLI skifter ikke til scriptets mappe. Den, der kalder php -f ordner/skript.php fra /tmp, arbejder fortsat i /tmp. Relative stier i cronjobs er derfor en hyppig fejlkilde.

Et lille script, der kun skal køre på kommandolinjen:

<?php
if (PHP_SAPI !== 'cli') {
    http_response_code(403);
    exit('Nur für die Kommandozeile.');
}
$tage = (int) ($argv[1] ?? 30);
$grenze = time() - $tage * 86400;
$alt = 0;
foreach (glob(__DIR__ . '/cache/*.tmp') ?: [] as $datei) {
    if (filemtime($datei) < $grenze) { $alt++; }
}
fwrite(STDOUT, "Dateien älter als $tage Tage: $alt\n");

Kontrollen af PHP_SAPI forhindrer, at et vedligeholdelsesscript udløses via browseren, hvis det ved en fejl ligger i webmappen. Manualen anbefaler udtrykkeligt at kontrollere SAPI'en på denne måde frem for at stole på, at $argv findes.

De vigtigste indstillinger i PHP CLI

De følgende indstillinger stammer fra indstillingsoversigten i PHP-manualen og er særligt nyttige for administratorer:

1. php -v viser CLI's versionsnummer.
2. php --ini viser, hvilke konfigurationsfiler der indlæses.
3. php -m opregner de indkompilerede og indlæste moduler.
4. php -i kalder phpinfo() og udskriver resultatet som tekst.
5. php -l datei.php kontrollerer kun syntaksen (lint). Siden PHP 8.3 også for flere filer på én gang.
6. php -r 'code' udfører kode direkte, uden <?php.
7. php -d name=wert sætter en INI-indstilling for dette kald.
8. php -n ignorerer php.ini fuldstændigt.
9. php --ri name viser konfigurationen for en udvidelse.

php --ini
php -m | grep -i -E "opcache|sodium|pdo"
php --ri session | grep upload_progress
php -l src/Controller.php src/Model.php

Den indbyggede webserver: kun til udvikling

Med php -S localhost:8000 starter CLI en lille webserver. Eksempeloutputtet i manualen nævner PHP 5.4.0 som udgangspunkt. Manualen er utvetydig: Serveren tjener udvikling, er ikke en fuldgyldig webserver og skal hverken køre i offentlige netværk eller i produktion. Kører den permanent på en server og kan nås udefra, er det et fund, I bør få bragt til ophør.

CLI, cron og sikkerhed efter PHP2Shell

De kendte meddelelser om PHP2Shell nævner PHP-FPM, mod_php, php-cgi, FrankenPHP og LiteSpeed som berørte driftsformer. CLI behandler ingen forespørgsler fra nettet. For sikkerheden er den alligevel vigtig i tre henseender:

• Forkert bevis: php -v viser CLI-versionen. Websitet kan bruge en anden version, og distributioners backports ændrer ofte ikke det viste nummer. Hvordan I dokumenterer status korrekt, står under Kontrollér PHP-version og patchstatus og i indlægget Hvorfor php -v viser det samme nummer.
• Persistens via cron: Angribere bruger efter et indbrud gerne cronjobs, der regelmæssigt starter et PHP-script. Henvisninger til søgningen giver Genkend skjulte cronjobs som bagdør.
• Samme pakke: CLI stammer som regel fra den samme pakkekilde som PHP-FPM og hører med i opdateringen.

Hvordan hjælper PHP SOS konkret?

• Afstemme versioner: Vi sammenligner CLI- og webstatus og dokumenterer, hvilken version jeres website virkelig leverer.
• Kontrollere cronjobs: Vi opregner alle planlagte PHP-opgaver for alle brugere og henfører dem til deres applikationer.
• Sikre vedligeholdelsen: Vi flytter vedligeholdelsesscripts ud af webmappen og sætter SAPI-kontroller.
• Passe dem vedvarende: I sikkerhedsvedligeholdelsesaftalen holder vi CLI, web-SAPI og cronjobs aktuelle sammen.

Ofte stillede spørgsmål

Kilder

• PHP-manualen: PHP på kommandolinjen
• PHP-manualen: Forskelle ved CLI-SAPI'en
• PHP-manualen: CLI-indstillinger
• PHP-manualen: Indbygget webserver