codeigniter安全分析必须基于真实代码路径与运行时行为：csrf防护需同时配置security.php的$csrfprotection和filters.php的'csrf'全局过滤器，缺一即失效；xss防护仅esc()按上下文转义可靠，全局xss过滤会破坏富文本；会话安全须强制regenerate(true)且ci_sessions表含ip_address字段；反序列化风险点在于unserialize()调用未校验类白名单；模型层$allowedfields为空或['*']将导致批量赋值漏洞。
要写PHP框架审计中的CodeIgniter安全分析，必须紧扣真实代码路径、配置依赖与运行时行为，不能只罗列功能开关或复制文档说明；需明确指出哪些配置项是形同虚设、哪些防护机制存在绕过路径、哪些默认值在生产环境会直接暴露攻击面。
确认CSRF防护是否真生效
第一步：打开 app/Config/Security.php，检查 $csrfProtection 是否设为 'cookie' 或 'session'——【这仅表示令牌生成就绪，不等于请求会校验】。
第二步：必须进入 app/Config/Filters.php，在 $globals['before'] 数组中显式加入 'csrf' 过滤器，例如 public $globals = ['before' => ['csrf']];。漏掉这一步，所有 POST 请求都会绕过验证，表单提交永远成功。
第三步：若使用 'except' 排除 API 路由，必须写成数组格式，如 ['except' => ['api/v1/*', 'health']];写成字符串 'api/*' 会导致排除失效，整个 API 组仍被拦截，调试时会发现接口反复 403。
识别XSS防护的真实边界
方法一：模板中用 esc() 函数包裹变量，如 = esc($user_comment, 'html') ?>，适用于 HTML 上下文输出。这是唯一推荐的输出防护方式。
方法二：控制器中调用 $this->request->getPost(null, FILTER_SANITIZE_STRING) 获取已过滤数据，但注意该过滤器在 PHP 8.1+ 中已被弃用，【应改用 FILTER_SANITIZE_FULL_SPECIAL_CHARS 或自定义验证规则】。
方法三：启用全局 XSS 过滤（不推荐）——在 app/Config/IncomingRequest.php 中设 $globalXssFilter = true，会带来性能损耗且无法区分上下文，可能破坏富文本内容，比如用户发的带 <pre class="brush:php;toolbar:false;"></pre> 的代码块会被转义成乱码。
验证会话安全是否闭环
① 开启 sess_match_ip 和 sess_match_useragent 可防御部分会话劫持，但动态 IP 用户会频繁掉线；更关键的是登录成功后必须立即调用 $this->session->regenerate(TRUE)，否则旧会话 ID 仍可被重放。
② 数据库驱动下，确保 ci_sessions 表包含 ip_address 字段并启用 sess_match_ip，否则匹配逻辑永远返回 true。
③ 检查 session.cookie_httponly 和 session.cookie_secure 是否设为 true，未启用时 Cookie 可被 JavaScript 读取或明文传输。
排查反序列化风险点
搜索项目中所有 unserialize() 调用位置，重点检查：$_COOKIE 数据解码、session_decode() 处理、缓存反序列化（如 file_cache 或 redis 中存储的序列化对象）。
若发现类似 $data = unserialize($_COOKIE['ci_session']) 的代码，立刻标记为高危——CodeIgniter 默认不校验反序列化类白名单，攻击者可构造 __wakeup() 或 __destruct() 链触发任意文件读取。
注意：CodeIgniter 4.5+ 已在 SessionHandler 中禁用原生 unserialize()，改用 igbinary 或 phpserialize 驱动，但若开发者手动回退或引入旧版第三方库，风险依旧存在。
审计模型层的批量赋值漏洞
检查每个 Model 类中 $allowedFields 的定义，它必须显式列出可写字段；若留空或设为 ['*']，则 update() 或 insert() 调用时会接受任意 POST 字段，包括 is_admin、status 等权限字段。
查看控制器中是否直接传入 $this->request->getPost() 全量数据给 save() 方法，正确写法应为 $model->save($this->request->getPost(['name', 'email']))，否则攻击者可在表单中注入 hidden 字段篡改关键字段。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
