用户输入直接拼进系统命令，被人远程执行命令，我服务器直接被人控制

之前写个工具功能，直接把用户传的输入拼进系统shell命令里调用，根本没做过滤，结果有人传了个恶意命令，直接在我服务器上执行，拿到了服务器的权限，差点把我所有文件都删了，我赶紧把这个功能下掉，给所有用户输入做了严格过滤，再也不把用户输入直接拼进系统命令。 很多新手写PHP，图方便把用户传的输入直接拼进系统命令执行，根本不做过滤，结果被人远程执行恶意命令，直接控制服务器，出大事。真的，任何用户输入都不能直接拼进系统命令里，一定要做严格过滤，不然被人攻进来，服务器直接就没了。