```

fix(security): 优化命令注入检测正则表达式

- 修改系统命令函数调用的正则匹配模式，增加参数验证
- 调整管道符检测逻辑，避免匹配单纯竖线字符
- 优化分号检测规则，防止误匹配HTML实体符号
- 更新危险命令识别模式，提高匹配精度
- 新增反引号命令检测，防止代码块中反引号被误判
```

app/middleware/SecurityMiddleware.php

@@ -208,18 +208,20 @@ class SecurityMiddleware
     protected function detectCommandInjection(string $input): bool
     {
         $patterns = [
-            // 系统命令
-            '/(?:system|exec|shell_exec|passthru|proc_open|popen|pcntl_exec)\s*\(/i',
+            // 系统命令函数调用（更精确的匹配）
+            '/(?:system|exec|shell_exec|passthru|proc_open|popen|pcntl_exec)\s*\(\s*[\'\"\$\w]/i',
 
-            // 管道符
-            '/\|\s*\w+/',
-            '/;\s*\w+/',
+            // 管道符后跟命令（避免匹配单纯的|字符）
+            '/\|\s*(?:rm\s|cat\s|ls\s|wget\s|curl\s|nc\s|sh\s|bash\s)/i',
 
-            // 危险命令
-            '/\b(?:rm\s+-|cat\s+\/|wget\s+|curl\s+|nc\s+)\b/i',
+            // 分号后跟命令（避免匹配HTML实体如 ）
+            '/;\s*(?:rm\s|cat\s|ls\s|wget\s|curl\s|nc\s|sh\s|bash\s|\$\w+)/i',
 
-            // 反引号
-            '/`.*?`/',
+            // 危险命令（更精确的匹配）
+            '/\b(?:rm\s+-(?:rf?|i)\b|cat\s+\/\w|wget\s+http|curl\s+http|nc\s+-[lv])\b/i',
+
+            // 反引号包裹命令（避免匹配代码块中的反引号）
+            '/`\s*(?:rm\s|cat\s|ls\s|wget\s|curl\s|nc\s|sh\s|bash\s)/i',
         ];
 
         foreach ($patterns as $pattern) {