命令执行（RCE）与代码执行（ACE）的核心区别在于：前者在操作系统层面执行命令，后者在编程语言层面执行代码。两者均因未过滤用户输入、使用危险函数（如system()、eval()）且缺乏转义导致。常见漏洞包括PHP的命令注入、Python的exec()滥用及反序列化RCE。攻击者可通过管道符、编码、取反、无回显等技巧绕过防护。防御需坚持白名单验证、输入转义与最小权限原则，杜绝不可信输入执行。