Jak używać powłoki exec z PHP i MySQL?

Ale nigdy nie wstawiaj wartości wejściowych bezpośrednio do polecenia powłoki. Użyj funkcji escapeshellarg() :

$key = escapeshellarg($_POST['key']);