静态分析工具无法直接发现逻辑漏洞，phpstan仅能捕获空对象调用、类型错误等导致逻辑崩坏的底层缺陷，psalm的污点分析可追踪注入类风险，而composer audit完全不涉及逻辑漏洞检测。
静态分析不能直接发现“逻辑漏洞”，它只查类型、调用、定义层面的硬性错误；真正能暴露逻辑问题的，是结合业务语义的定制规则或人工审查，PHPStan 和 Psalm 本身不理解“订单状态流转是否遗漏了 cancel → refunded 路径”这类问题。
PHPStan 能抓哪些接近逻辑漏洞的硬伤
它不分析业务流，但能揪出导致逻辑崩坏的底层缺陷：
-
Call to a member function toArray() on null：空对象解引用，常因条件分支漏判引发 -
Argument of an invalid type string supplied for foreach：传错类型进循环，后续逻辑全错 -
Access to an undefined property：属性名拼错或状态字段未声明，导致赋值失效 -
Strict comparison using === between string and int will always evaluate to false：类型混用导致恒假判断，跳过关键分支
这些不是“风格问题”，而是运行时必然崩溃或静默失败的隐患。Level 5+ 开始覆盖大部分此类场景，但必须确保 phpstan.neon 中 paths 包含所有业务代码目录（如 app/、src/Domain/），否则扫描范围缺失，等于没查。
Psalm 的 taint analysis 模块才真正贴近逻辑风险
Psalm 提供污点分析（taint analysis），能追踪用户输入是否未经过滤就进了 SQL 查询或模板渲染——这是典型的注入类逻辑漏洞前兆。启用方式：
- 安装后运行
vendor/bin/psalm --init，生成psalm.xml - 在
<psalm></psalm>根节点下加taintAnalysis="true" - 确保
<projectfiles></projectfiles>显式包含入口文件（如public/index.php）和控制器目录 - 运行
vendor/bin/psalm --taint-analysis单独触发该模式
它会报类似 TaintedInput: Input from $_GET is not escaped before being used in SQL query 的警告。注意：该功能对代码结构敏感，若路由分发层用了动态方法调用（如 $controller->{$action}()），需在调用处补 @psalm-var 注解，否则分析链中断。
围绕关键发现、作用机制、临床相关性及研究局限性展开讨论。适用于撰写或优化任何生物医学论文的“讨论（Discussion）”部分——包括结果解读、与既往文献关联、阐释意外发现、界定研究局限性，以及撰写结论。当用户输入以下任一指令时也会自动触发该功能： - “write my discussion” - “help me discuss my findings” - “how do I compare to prior studies” - “write the limitations par
为什么 composer audit 对逻辑漏洞完全无效
composer audit 只比对 composer.lock 中的包版本与 FriendsOfPHP 安全数据库，输出的是 CVE 编号（如 CVE-2023-12345），内容仅限已知安全漏洞（如反序列化、路径遍历）。它：
- 不读取任何 PHP 源码，无法感知你写的
if ($user->role !== 'admin') { grantAccess(); }这种反转逻辑 - 不检查私有包、fork 包、dev 分支，而这些恰恰是逻辑漏洞高发区
- 不评估函数参数含义，比如
calculateDiscount($amount, $isVIP)里把$isVIP当成布尔却传了字符串'yes'，audit 完全无感
想覆盖这类问题，唯一可行路径是：用 Psalm 的 taint analysis + 自定义 stub 文件标注关键函数行为（如 db_query() 接受污点输入），再配合单元测试覆盖边界状态。
CI 中容易被忽略的配置断点
本地跑通不等于 CI 有效，三个实际踩坑点：
-
phpstan.neon被.gitignore忽略了，CI 拉下来的仓库里根本没有配置文件 -
composer install --no-dev在构建阶段执行，导致phpstan根本没装进vendor/bin/ - 工作目录设成了
/app/src而非项目根目录，vendor/bin/phpstan找不到phpstan.neon，安静 fallback 到 level 0
验证方式很简单：CI 日志里加一行 ls -la && cat phpstan.neon 2>/dev/null || echo "no config"，别依赖“命令没报错”就认为生效了。
