php安全排查应聚焦5类高危反模式：全局变量滥用、硬编码敏感信息、危险函数直调、sql拼接逻辑、输出未转义，通过精准静态扫描与运行时验证，以最小成本覆盖最大隐患。
排查PHP安全反模式，关键不在“查得多”，而在“盯得准”——聚焦高频风险点、结合静态分析与运行时验证、用最小成本覆盖最大隐患面。
盯住5类高危反模式逐项核验
不必通读全部代码，优先检查这五类已被大量生产事故验证的典型问题：
-
全局变量滥用：搜索
global、$GLOBALS、未声明直接赋值的变量（如$config = [...]），重点看用户权限、数据库连接、密钥等敏感状态是否被多处隐式修改 -
硬编码敏感信息：用
grep -r "password\|api_key\|secret\|127.0.0.1\|localhost" --include="*.php" .快速定位，尤其关注config/、bootstrap/和控制器顶层 -
危险函数直调：筛查
eval(、unserialize(、system(、exec(、passthru(、shell_exec(、include(、require(等，确认是否对用户输入或不可信来源数据做了一手处理 -
SQL拼接逻辑：查找
"SELECT.*WHERE.*".$_、mysql_query($sql)、mysqli_query($conn, $sql)等模式，凡字符串拼接含$_GET、$_POST、$_COOKIE即为高风险 -
输出未转义：扫描
echo $_、print $、?>= $后紧跟$_变量的模板片段，确认是否缺失htmlspecialchars()或filter_var(..., FILTER_SANITIZE_SPECIAL_CHARS)
用工具自动抓出隐藏陷阱
人工排查易漏，必须搭配三类工具交叉验证：
-
静态分析工具：运行
phpstan analyse --level=8 src/识别类型不安全调用；用psalm --find-dead-code发现无用但可能残留逻辑的危险函数 -
安全扫描器：集成
php-security-audit或rips，它能识别unserialize($_GET['data'])这类典型反序列化入口，还能标记allow_url_include=On等危险ini配置 -
运行时监控：在测试环境启用
error_log记录所有E_WARNING和E_NOTICE，特别关注insecure deserialization、use of deprecated function等关键词，它们常是反模式暴露的第一信号
从请求入口倒推信任边界
安全反模式往往藏在“信任链断裂”的地方。以每个HTTP入口（index.php、API路由、Webhook回调）为起点，逆向追踪数据流向：
- 该入口接收哪些外部输入？（
$_GET、$_POST、getallheaders()、file_get_contents('php://input')） - 这些输入是否未经验证就进入
unserialize()、file_put_contents()、mysqli_query()等敏感操作？ - 中间是否经过“看似过滤实则绕过”的处理？例如只过滤
<script></script>却忽略<script></script>或onerror=alert() - 最终输出是否直接插进HTML/JS/JSON上下文而未做对应编码？比如
json_encode($user_input)用于JS变量但未加JSON_HEX_TAG标志
配置层与代码层同步收紧
很多反模式根源不在代码逻辑，而在环境松散。必须同步检查：
-
php.ini中display_errors=Off、log_errors=On、expose_php=Off、disable_functions=exec,passthru,shell_exec,system,proc_open,popen,unserialize（若业务不用反序列化） - Web服务器配置是否禁用
AllowOverride All、关闭Options Indexes、限制上传目录执行权限 - 所有数据库连接是否强制使用PDO预处理，且
PDO::ATTR_EMULATE_PREPARES设为false
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
