PHP 代码安全审计工具推荐与使用指南-php教程-PHP中文网

php安全审计需多工具协同：phpcs-security-audit用于ci/cd拦截高危函数，composer audit每日扫描依赖漏洞，seay和rips辅助静态分析但须人工复核，核心在于验证过滤逻辑与框架入口的全局防护是否生效。

php 代码安全审计工具推荐与使用指南

直接上结论：对 PHP 项目做安全审计，别只靠一个工具——phpcs-security-audit 适合 CI/CD 中快速拦截高危函数调用，composer audit 必须每天跑一次查依赖漏洞，Seay 和 RIPS 各有适用场景，但都得人工复核。

phpcs-security-audit：CI/CD 里拦住 `eval()` 和 `system()` 最省事的方式

它本质是 PHP_CodeSniffer 的一个规则集，不运行代码、只扫语法结构，所以快且稳定。关键不是“发现所有漏洞”，而是把最不该出现的危险模式在提交前卡住。

必须指定 --standard 路径，否则默认规则不启用安全检测；示例命令：phpcs --standard=./vendor/pheromone/phpcs-security-audit/example_base_ruleset.xml app/
SQLFunctionsSniff.php 检的是裸拼 SQL 的写法（如 mysql_query("SELECT * FROM user WHERE id=".$_GET['id'])），但对 PDO::query() + 字符串拼接也会报，得看上下文判断是否误报
不支持动态变量拼接路径的深度分析（比如 include $dir . '/config.php'），这类得靠 RIPS 或人工
若项目用了 Laravel 或 ThinkPHP，部分框架封装的 DB::select() 可能被误标，建议在 ruleset.xml 里临时禁用 SQLFunctionsSniff，改用 composer audit 补位

composer audit：依赖漏洞的“血压计”，每天不跑等于裸奔

它查的是 vendor/ 下已安装包的 CVE 记录，和代码逻辑无关，但 70% 的线上 RCE 来自过时的 monolog 或 guzzlehttp。不跑这个，其他审计都是修屋顶漏地板。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

默认只报中高危，加 --strict 才让 CI 失败；在 GitHub Actions 里推荐加这一句：composer audit --no-dev --strict || exit 1
--ignore 不是忽略漏洞，是忽略某条 advisory 的提示——比如你确认某个 CVE 在当前使用方式下不可利用，才加进去
如果报 Could not fetch advisories，先检查网络能否访问 https://security.symfony.com；私有包仓库需在 composer.json 的 config 里配 "secure-http": false（仅限内网）
注意 --no-dev：CI 环境应始终加上，避免因开发依赖（如 phpunit）的漏洞导致构建失败，而它们根本不会进生产环境

Seay 和 RIPS 怎么选：Windows 快速摸排 vs Linux 持续集成

Seay 是 Windows 桌面程序，RIPS 是 PHP 写的 Web 应用，底层能力接近，但部署逻辑完全不同。

Seay 启动依赖 .NET Framework 3.5（不是 4.5），Win10/11 默认不装，手动启用需管理员权限；扫描时勾选 Subdirs 才递归，否则只扫一级目录
RIPS 部署后访问 /rips/，上传 ZIP 或填绝对路径；它会解析 $_GET/$_POST 到 echo 的完整污点链，但对 Laravel 的 request()->input() 支持弱，容易断链
两者都靠正则匹配敏感函数，所以 call_user_func($func, $arg) 这类间接调用大概率漏掉；看到 preg_replace('/.*/e', ...) 要立刻人工确认——/e 修饰符在 PHP 7.0+ 已移除，但老项目可能还留着
别信“一键生成 HTML 报告”；报告里标红的 XSS 漏洞，90% 需要你打开对应文件，看输出前有没有经过 htmlspecialchars() 或模板引擎自动转义

真正卡住问题的地方：过滤逻辑和框架入口你根本没细看

工具能标出 echo $_GET['name']，但不会告诉你这个参数其实在 app/middleware/SecurityFilter.php 里已被 strip_tags() 处理过；也不会提醒你 ThinkPHP 的 input('get.name') 默认做了 htmlspecialchars，但 input('get.name', '', 'raw') 就绕过去了。

最常被跳过的动作是：打开入口文件（index.php 或 public/index.php），顺藤摸瓜找到所有 require/include 的配置和过滤文件，再 grep 关键字 addslashes、htmlspecialchars、filter_var —— 工具报的每个高危点，必须回到这里验证是否已被全局拦截。这步省了，所有扫描结果都只是参考坐标。