如何给ThinkPHP5.1项目添加WAF防护漏洞-ThinkPHP-PHP中文网

thinkphp 5.1 waf 防护需分层设防：nginx 层用 lua 前置拦截攻击请求；tp 应用层强制路由、禁调试、限制目录访问；php 层加固反序列化、rce、sql 注入和 xss；配合日志监控实现可管可控。

如何给thinkphp5.1项目添加waf防护漏洞

给 ThinkPHP 5.1 项目添加 WAF 防护，核心不是装个插件就完事，而是分层设防：在 Web 服务器层（Nginx）做前置拦截，在应用层（TP代码与配置）堵住已知漏洞入口，在运行时环境加固执行边界。WAF 是补充，不能替代安全编码和版本更新。

这是最高效的一道防线——请求在到达 PHP-FPM 前就被识别、限流或拦截，不消耗 TP 应用资源。

安装 lua-resty-limit-req 和 lua-resty-waf（或精简自定义规则），确保 Nginx 编译时启用了 Lua 支持
精准匹配 TP 接口路径，避免误伤静态资源：
若使用 PATHINFO 路由，配置类似：
location ~ ^/index\.php/(api|admin|v1)/ { access_by_lua_file /path/to/waf.lua; }
若已配置伪静态 rewrite，则直接作用于 location /api/ { ... }
拦截典型攻击特征：对 URL 或 POST body 中含 O:、s:、a:、__destruct、assert(、eval(、system( 等字符串的请求直接返回 403
对高频异常请求（如 1 秒内超 10 次带 _method=__construct 的 POST）自动限流或封 IP

很多 WAF 失效，是因为攻击流量本就“合法”地进入了框架内部。必须先收窄入口面。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

在 app.php 或 route.php 中开启强制路由：'url_route_must' => true，所有未定义的控制器/方法访问一律 404，可有效拦截 /index.php?s=/index/\think\app/invokefunction 类控制器漏洞
禁用调试模式：'app_debug' => false，防止错误页面泄露类名、路径、调用栈，降低攻击者构造反序列化链难度
删除或重命名 runtime/ 目录下所有缓存文件，并设置其权限为 750；禁止 Web 用户直接访问 runtime/ 和 vendor/ 目录（Nginx 配置 location ~ ^/(runtime|vendor)/ { return 403; }）

针对 ThinkPHP 5.1 最常被利用的几类漏洞，做针对性封堵：

反序列化漏洞：在 php.ini 中设置 unserialize_callback_func = "waf_unserialize_fail"，并在全局函数中定义该函数返回 false 或抛出异常，使任意未注册类的反序列化立即失败
RCE 漏洞防护：检查所有控制器中是否使用了 input() 或 $_REQUEST 直接传入 call_user_func_array、assert、eval、system 等函数；一律替换为白名单校验或拒绝执行
SQL 注入兜底：禁用所有 raw()、exp()（TP5 中已废弃）等绕过绑定的接口；动态字段/排序参数必须走白名单：in_array($sort, ['id', 'create_time', 'status']) ?: 'id'
模板 XSS 防御：彻底移除 'default_filter' => 'htmlspecialchars' 这类全局配置；HTML 文本输出显式用 {:htmlspecialchars($x, ENT_QUOTES)}，JS/JSON 输出必须用 {:json_encode($data)|raw}