系统性安全审计需五步穿透：一、执行composer install确保lock文件准确，再用--with-dependencies扫描全依赖树并json告警；二、用php_codesniffer和grep定位sql注入/xss硬伤；三、验证中间件绑定与idor越权；四、检查上传目录不可执行、mime白名单及文件重命名；五、删除测试文件、关闭serversignature、定制错误页。
你要对正在运行的PHP框架项目做一次系统性安全审计，不是只看几行代码或扫个漏洞就完事，而是从依赖、代码、权限、上传、日志五个层面逐层穿透，每一步都必须验证落地效果，漏掉任意一环都可能让攻击者绕过防护。
第一步：锁死Composer依赖链安全性
先确认项目是否已执行过 composer install——【没运行这步，后续所有audit结果全无效】。因为 composer audit 只读 composer.lock，不看 composer.json，而 lock 文件若缺失或过期，扫描对象根本不存在。
执行命令：composer install --no-interaction --prefer-dist，确保 lock 文件哈希校验通过且完整覆盖所有依赖。
接着运行：composer audit --with-dependencies --format=json --severity=critical,high。注意：这个命令默认只扫生产依赖，加上 --with-dependencies 才能覆盖 PHPUnit、symfony/yaml 等开发依赖引入的间接漏洞；没命中 critical/high 时返回空数组但退出码仍是 0，不能靠 exit code 判断有无问题。
把 JSON 输出喂给轻量脚本，提取 advisories[].cve 和 title 字段，用 curl 推送到飞书机器人 webhook 地址——别等人工查报告，告警必须秒级触达。
第二步：静态扫描SQL注入与XSS硬伤
方法一：用 PHP_CodeSniffer 配合自定义规则集快速定位高危模式。
安装：composer global require squizlabs/php_codesniffer，再加载规则：phpcs --standard=SecurityAudit ./app/（假设业务代码在 app 目录）。
重点盯三类代码：直接拼接 SQL 的 DB::query("SELECT * FROM users WHERE id = " . $_GET['id'])；未过滤输出的 echo $_POST['name']；表单缺失 @csrf 或 csrf_token() 的 Laravel/ThinkPHP 项目。
方法二：手动 grep 更准——在项目根目录执行：grep -r "echo.*\$_" --include="*.php" . | grep -v "htmlspecialchars\|htmlentities"，这条命令能筛出所有未经转义就输出用户输入的地方，比工具更直给。
第三步：验证权限控制是否真生效
第一步：打开中间件配置文件，确认敏感路由是否被 auth、can 或 role 中间件包裹。例如 Laravel 的 Route::middleware(['auth', 'can:manage-users']) 必须存在，光写 if (Auth::check()) 在控制器里是无效的。
第二步：启动应用后，用未登录状态直接访问 /admin/users，观察是否跳转登录页或返回 403。如果页面正常渲染，说明中间件没注册或路由没绑定。
第三步：构造 IDOR 测试——登录普通用户 A（ID=1001），修改请求 URL 中的 ID 为 1002，访问 /api/user/1002，看是否返回用户 B 的手机号、邮箱等敏感字段。【只要返回成功，就是垂直越权漏洞，立刻停服修复】
第四步：堵死文件上传执行通道
定位所有调用 $_FILES 或框架上传类（如 Illuminate\Http\UploadedFile）的位置，重点检查三点：
上传目录是否设置为不可执行：Apache 下确认 .htaccess 包含 Options -ExecCGI 且无 AllowOverride All 开放；Nginx 下检查 location ~ \.php$ 块是否排除上传目录路径，例如 location ^~ /uploads/ { deny all; }。
文件类型验证是否仅靠前端或扩展名：后端必须用 finfo_file() 检测 MIME 类型，且白名单严格限定为 image/jpeg、image/png，禁用 application/octet-stream 等模糊类型。
文件名是否重命名：原始文件名 shell.php.jpg 经 pathinfo($file->getClientOriginalName(), PATHINFO_FILENAME) 提取后，必须丢弃，改用 uniqid() . '.' . $extension 生成新名。
第五步：清理Web服务器暴露面
删掉所有测试文件：找到 info.php、phpinfo() 调用、welcome_index.html，全部物理删除——这些文件会泄露 PHP 版本、已启用模块、open_basedir 设置等关键信息。
关闭 Apache 的 ServerSignature：编辑 /etc/httpd/conf/httpd.conf，设 ServerSignature Off 且 ServerTokens Prod，重启 httpd。
限制 Nginx 错误页面暴露：在 server 块中加 error_page 404 /404.html;，并确保 /404.html 不包含服务器版本、路径等任何调试痕迹。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
