怎么用DeepSeek修复老旧PHP系统的漏洞（代码+详细步骤）-php教程-PHP中文网

用deepseek整改老旧php系统，应先建立环境清单和回归基线，再按风险分批修复，不能直接让ai重写整站。下面以旧登录模块为例，给出参数化查询、现代密码验证与弱密码记录的迁移处理。

DeepSeek官方开发文档真实页面截图

先做好可恢复的系统备份，守牢业务基线

很多跑了多年的老PHP系统，普遍存在运行时已停更、依赖版本老旧、长期缺测试覆盖的问题。

动手改造之前，先把全量代码、数据库结构、用户上传文件、整套部署配置都做好可正常恢复的完整备份，再在隔离的副本环境里，把登录、下单、支付回调、后台操作这些核心业务的测试用例全部搭建完成。

接下来先把当前运行环境梳理清楚：PHP版本、配套扩展、数据库字符集、所用框架的来源逐一核对，把系统自带包、Composer自动安装的依赖、后续开发手动新增的零散代码这三类内容明确区分开。

对外开放的高风险入口优先做安全整改，别拿“现在跑着没毛病”当借口，继续用早就停更、没有官方安全补丁支持的旧版本。

替换旧接口后，原有行为可能发生变化

安全整改不仅是替换危险函数，还涉及编码、类型、错误处理和数据库行为。旧查询改为预处理后，应保留原有业务条件；旧密码数据改用现代哈希时，也不能把历史摘要直接当成用户明文再次哈希。

运行时升级可能让过去被忽略的警告变成异常，因此要先确定目标环境，再按模块验证输入、权限和返回格式，避免一次大改使风险来源难以定位。

让DeepSeek按模块输出改造方案，别一上来就让它重写整站

从DeepSeek官方入口进入新会话，先提供脱敏环境清单和一个模块的调用链。明确代码属于旧系统，要求先列不兼容点与安全问题，不把PHP新版语法直接塞进仍运行旧版的服务器。

Deepseek Reasoner Lite Agent
你是DeepSeek-R1-Agent，一个高效的内容创作者。

下载
优先选择登录或公开查询等边界清晰的模块，附上预期成功和失败行为。让DeepSeek分别给最小安全修复与后续迁移计划，不混入页面重构和无关功能。
查看补丁是否保留用户状态、权限及原有业务条件。对密码模块要求明确识别旧格式，设计身份核验后的重置流程，不继续默认接受无盐弱摘要。
在目标PHP版本的测试环境逐模块运行回归。保留修改差异与失败记录，先完成一个模块再处理下一个；没有测试证据的“全面修复”不作为上线依据。

根据环境清单审查这个旧PHP登录模块。
先列运行时与依赖风险、输入到SQL的数据流和密码存储格式。
目标修复使用PDO参数化与password API；未知或弱密码格式进入受控重置，不直接继续验证。
给完整独立样例、正常与拒绝用例，并说明旧服务器不能直接使用的语法和扩展。
不批量修改真实用户密码，不执行生产迁移，不把修改一个模块等同于全站安全。

代码改造第一步：先校验安全登录边界逻辑

下面针对现代PHP目标环境，用内存SQLite演示登录数据。旧格式仅作为需要重置的状态，不进行弱摘要比对；代码没有实现邮件重置、会话登录、限流或多因素认证，不能直接当作完整认证系统。

<?php declare(strict_types=1);
$db = new PDO('sqlite::memory:', null, null, [PDO::ATTR_ERRMODE=>PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE=>PDO::FETCH_ASSOC]);
$db->exec('CREATE TABLE users(id INTEGER PRIMARY KEY, username TEXT UNIQUE, password_hash TEXT)');
$password = 'Teaching-Only-Passphrase!'; // 纯教学凭据，不用于任何真实账号。
$modern = password_hash($password,PASSWORD_DEFAULT);
$insert = $db->prepare('INSERT INTO users VALUES(?,?,?)');
foreach ([[1,'modern',$modern],[2,'legacy',str_repeat('a',32)],[3,"O'Reilly",$modern]] as $row) {
    $insert->execute($row);
}
function loginCheck(PDO $db,string $username,string $password): array {
    // 本示例选择最多72字节的密码输入策略，避免bcrypt截断歧义。
    if ($username === '' || strlen($username)>80 || $password === '' || strlen($password)>72) {
        return ['ok'=>false,'reset_required'=>false];
    }
    $query = $db->prepare('SELECT id,password_hash FROM users WHERE username=:username');
    $query->execute(['username'=>$username]);
    $user = $query->fetch();
    if ($user === false) { return ['ok'=>false,'reset_required'=>false]; }
    $stored = $user['password_hash'];
    // 不继续验证MD5/SHA1等历史格式；交给受控的身份核验与密码重置流程。
    if (!is_string($stored) || password_get_info($stored)['algoName'] === 'unknown') {
        return ['ok'=>false,'reset_required'=>true];
    }
    if (!password_verify($password,$stored)) { return ['ok'=>false,'reset_required'=>false]; }
    if (password_needs_rehash($stored,PASSWORD_DEFAULT)) {
        $replacement = password_hash($password,PASSWORD_DEFAULT);
        // 旧哈希条件避免覆盖同时发生的其他密码修改。
        $update = $db->prepare('UPDATE users SET password_hash=:new WHERE id=:id AND password_hash=:old');
        $update->execute(['new'=>$replacement,'id'=>$user['id'],'old'=>$stored]);
    }
    return ['ok'=>true,'user_id'=>(int)$user['id'],'reset_required'=>false];
}
function check(bool $value,string $name): void {
    if (!$value) { throw new RuntimeException('FAIL: '.$name); }
    echo $name, ': PASS', PHP_EOL;
}
check(loginCheck($db,'modern',$password)['ok'] === true,'modern_login');
$legacy = loginCheck($db,'legacy',$password);
check($legacy['ok'] === false && $legacy['reset_required'] === true,'legacy_reset');
check(loginCheck($db,'modern','wrong')['ok'] === false,'wrong_password');
check(loginCheck($db,"' OR 1=1 --",$password)['ok'] === false,'sql_shape_username');
check(loginCheck($db,"O'Reilly",$password)['ok'] === true,'quoted_username');
echo 'Runtime: PHP ', PHP_VERSION, ' / ', PHP_SAPI, ' / PDO SQLite', PHP_EOL;

php audit.php

代码已在macOS上的PHP 8.5.10 WebAssembly执行，正常密码、弱格式、错误密码与查询边界检查通过。没有运行旧PHP、调用DeepSeek或迁移真实账号，目标旧站仍需独立兼容性验收。

旧登录模块整改示例的五项实际测试结果

临时紧急收口和全量完整迁移，两者不能互相替代

阶段	主要操作	限制
短期风险收口	限制高风险入口、权限与外部暴露	不代表旧依赖已经修复
受维护环境迁移	升级运行时与依赖，分模块回归	需要兼容性和数据恢复验证