17370845950

PHP打包成EXE后无法访问网络共享的根本原因是打包工具以低权限上下文运行，导致无法继承用户网络凭据；需禁用沙箱、启用来宾登录或改用HTTP/WebDAV等替代方案。

PHP 打包成 EXE 后无法访问网络共享，根本原因不是 PHP 本身的问题，而是打包工具（如 ExeOutput for PHP、PHP Desktop 或 WebCompiler）生成的 EXE 运行在 Windows 用户会话上下文中，但默认不继承当前用户的网络凭据，且常以“无权限”或“受限令牌”方式启动 —— 导致 fopen()、scandir()、copy() 等函数对 \\server\share 路径返回 Permission denied 或 No such file or directory。

PHP EXE 访问 \\server\share 失败的典型错误现象

运行打包后的 EXE 时出现以下任一提示，基本可确认是凭据/权限问题：

• fopen(\\server\share\file.txt): failed to open stream: Permission denied
• scandir(\\server\share): failed to open dir: No such file or directory
• 浏览器中 PHP 页面空白，error_log 显示 Warning: Invalid argument supplied for foreach()（因 scandir() 返回 false）
• 用 net use 手动映射后仍报错（说明 EXE 进程未看到该映射）

必须启用「以当前用户身份运行」并禁用「隔离模式」

多数 PHP 打包工具默认启用进程沙箱或低完整性级别（Low IL），导致无法使用已登录用户的 Kerberos/NTLM 凭据访问网络资源。需手动调整：

• 在 ExeOutput for PHP 中：打开项目 → Project → Options → Security → 取消勾选 Run application in a restricted security context (low integrity level)
• 在 PHP Desktop 配置中：确保 security.sandbox.enabled = false（位于 phpdesktop-chrome\settings.json）
• 若使用自定义打包（如 NSIS + PHP CLI）：启动 EXE 时避免用 runas /trustlevel:0x20000 或任何降权参数
• 验证方式：EXE 启动后，在代码中执行

  echo exec('whoami /groups | findstr "Mandatory Label"');

  ，输出为空表示未运行在 Low IL；若有 Mandatory Label\High Mandatory Level 更佳

共享服务器端必须配置「启用不安全的来宾登录」或提供显式凭据

Windows 10/11 默认禁用 SMB 来宾访问（LocalAccountTokenFilterPolicy 未启用），而打包 EXE 往往无法弹出凭据框，也无法读取当前用户的 cmdkey 凭据。解决路径有两条：

• 服务端改策略（推荐内网环境）：在共享所在的 Windows Server 或 Win10 主机上，以管理员身份运行：

  reg add "HKLM\SYSTEM\CurrentControlSet\Control\Lsa" /v "DisableLoopbackCheck" /t REG_DWORD /d 1 /f
  reg add "HKLM\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" /v "AllowInsecureGuestAuth" /t REG_DWORD /d 1 /f

  ，然后重启 Workstation 服务（net stop workstation && net start workstation）
• 客户端硬编码凭据（仅限测试/离线场景）：在 PHP 中用 exec() 调用 net use 挂载（注意：密码明文风险）：

  $share = '\\\\server\\share';
  $user = 'DOMAIN\\username';
  $pass = 'password';
  exec("net use Z: $share /user:$user $pass 2>&1", $output, $return);
  if ($return === 0) {
      $files = scandir('Z:\\');
  }

  ，挂载盘符需在 EXE 退出前用 net use Z: /delete 清理
• 避免依赖 \\server\share 的 UNC 路径直写：改为先映射为本地盘符（如 Z:），再用 Z:\path 访问 —— 因为大多数打包 EXE 对本地路径权限控制更宽松

PHP 代码层绕过限制的务实写法

不要依赖 file_exists() 或 is_dir() 直接判断 UNC 路径，它们在打包 EXE 下极易失效。改用可捕获底层错误的方式：

• 用 stream_context_create() 加超时和错误抑制，再配合 file_get_contents() 测试连通性：

  $opts = ['http' => ['timeout' => 5, 'ignore_errors' => true]];
  $ctx = stream_context_create($opts);
  $content = @file_get_contents('http://server/share/file.txt', false, $ctx); // 若共享开了 WebDAV 或 IIS 共享

• 优先走 HTTP/S 协议访问共享内容（如部署 IIS/Nginx 指向共享目录），比直接 UNC 更稳定、无需处理 Windows 凭据传递
• 若必须用文件系统操作，改用 proc_open() 调用 PowerShell，利用其更完整的凭据上下文：

  $cmd = 'powershell -Command "Get-ChildItem \'\\\\server\\share\' -ErrorAction Stop | Select-Object -First 1";';
  $proc = proc_open($cmd, [['pipe','r'], ['pipe','w'], ['pipe','w']], $pipes);
  if (is_resource($proc)) { /* 读取 $pipes[1] 判断是否成功 */ }

真正卡住的往往不是 PHP 语法，而是 Windows 会话隔离 + SMB 安全策略 + 打包工具权限模型三者叠加的结果。调试图形界面 EXE 时，别只看 PHP 错误日志 —— 用 Process Monitor（Sysinternals）过滤目标 EXE 进程，观察对 \\server\share 的 NAME NOT FOUND 或 ACCESS DENIED 事件，才能准确定位是凭据缺失、SMB 版本不匹配，还是符号链接被拦截。