PHP提取SQL语句需结合正则与AST分析：1.用preg_match_all初步捕获SELECT/INSERT等关键字语句；2.用php-parser构建语法树，遍历字符串节点并校验SQL前缀；3.借助sql-parser解析表名，区分源表与目标表；4.通过变量流追踪处理动态表名，对$_GET等运行时变量标记告警。
PHP如何从代码中提取SQL语句并识别表名
直接解析PHP文件里的SQL，核心是区分“静态拼接”和“动态拼接”。preg_match_all() 能抓出大部分 SELECT/INSERT 等关键字开头的语句，但遇到变量拼接（如 $sql = "SELECT * FROM ".$table;）就失效。这时候得结合 AST 分析——用 PHP 的 php-parser 库把代码转成语法树，再遍历 Stmt_Expression 和 Scalar_String 节点，过滤含 SQL 关键字的字符串字面量。
常见错误：正则盲目匹配所有引号内内容，结果把日志字符串、URL、JSON 也当 SQL 抓出来。建议加前置校验——只处理以 SELECT、UPDATE、DELETE、INSERT INTO、FROM、JOIN 开头（忽略空白和注释）的字符串。
- 优先用
nikic/php-parserv4+，它支持 PHP 8 语法，且NodeTraverser易于定制遍历逻辑 - 跳过
eval()、create_function()内的 SQL——它们无法静态分析，需人工标注或告警 - 注意 Heredoc/Nowdoc：这类字符串需额外判断是否含 SQL 关键字，不能只看双引号
如何从SQL字符串中准确提取源表和目标表
正则硬拆 FROM 和 JOIN 后的表名容易翻车：别名、子查询、反引号、库名前缀（db.table）、括号嵌套都会导致匹配错位。更可靠的方式是用轻量 SQL 解析器，比如 sql-parser（GitHub 上的 php-sql-parser 分支），它能把 "SELECT a.id FROM user AS a JOIN order o ON a.id=o.uid" 拆成明确的 tables 数组，含原始名、别名、类型（source/target）。
关键差异点：
立即学习“PHP免费学习笔记（深入）”；
-
INSERT INTO和REPLACE INTO的第一个表是目标表；UPDATE的表既是源也是目标；DELETE FROM的表是源表（实际被删） - 子查询中的
FROM表属于“嵌套依赖”，需递归解析，不能只取最外层 - MySQL 的
INSERT ... SELECT语句要同时提取目标表（INSERT INTO部分）和源表（SELECT部分）
怎么关联PHP变量与数据库表名（解决动态表名问题）
这是血缘自动化的最大难点。当代码里写 $table = $prefix . '_user';，再 "SELECT * FROM {$table}"，光靠字符串解析拿不到真实表名。必须做变量流追踪（taint tracking）：在 AST 遍历中记录变量赋值路径，对已知配置变量（如 $prefix = 'wp'）做常量折叠，对运行时变量（如 $_GET['t']）标记为“不可解析”，并记录其来源位置供人工确认。
实操建议：
- 建立白名单配置文件，声明哪些变量可视为静态（如
DB_TABLE_PREFIX、$config['tables']['user']），解析时直接替换 - 对
$_POST/$_GET/$_SESSION相关变量，不尝试推断值，而是生成警告："dynamic_table_name: \$table depends on \$_GET['table_name'] at line 42" - 避免递归过深：限制变量追溯最多 3 层赋值（
$a = $b; $b = $c; $c = 'user'✅，再多就截断）
为什么不能只扫 .php 文件，还要处理 .sql 和 ORM 配置
很多项目把建表语句单独放在 migration/ 目录的 .sql 文件里，或用 Doctrine YAML/Annotations 定义实体映射。如果只扫 PHP，会漏掉 DDL 层依赖和 ORM 层的隐式关联（比如 @ORM\JoinColumn(name="user_id", referencedColumnName="id") 实际建立了 order.user_id → user.id 的外键血缘）。
处理方式：
-
.sql文件：用同一套 SQL 解析器（如sql-parser）批量读取，提取CREATE TABLE、ALTER TABLE ADD FOREIGN KEY中的表和字段关系 - Doctrine YAML：用
symfony/yaml加载后，遍历manyToOne/oneToMany块，提取targetEntity和joinColumns - Laravel Eloquent：扫描
protected $table和belongsTo()/hasMany()方法调用，注意方法参数可能是字符串或类名，需统一解析为表名
真正难的不是解析单个文件，而是把 PHP 中的 SELECT * FROM user、migration 里的 CREATE TABLE user、Eloquent 中的 User::class 三者归一到同一个逻辑表 ID。这需要建立中间映射表，并接受人工校验环节——自动化永远只能覆盖 80%，剩下 20% 必须留接口给开发者补全。
