PHP安全审计需多工具协同：phpcs-security-audit用于CI/CD拦截高危函数，composer audit每日扫描依赖漏洞，Seay和RIPS辅助静态分析但须人工复核，核心在于验证过滤逻辑与框架入口的全局防护是否生效。
直接上结论：对 PHP 项目做安全审计，别只靠一个工具——phpcs-security-audit 适合 CI/CD 中快速拦截高危函数调用，composer audit 必须每天跑一次查依赖漏洞，Seay 和 RIPS 各有适用场景，但都得人工复核。
phpcs-security-audit：CI/CD 里拦住 eval() 和 system() 最省事的方式
它本质是 PHP_CodeSniffer 的一个规则集，不运行代码、只扫语法结构，所以快且稳定。关键不是“发现所有漏洞”，而是把最不该出现的危险模式在提交前卡住。
- 必须指定
--standard路径，否则默认规则不启用安全检测；示例命令：phpcs --standard=./vendor/pheromone/phpcs-security-audit/example_base_ruleset.xml app/ -
SQLFunctionsSniff.php检的是裸拼 SQL 的写法（如mysql_query("SELECT * FROM user WHERE id=".$_GET['id'])），但对 PDO::query() + 字符串拼接也会报，得看上下文判断是否误报 - 不支持动态变量拼接路径的深度分析（比如
include $dir . '/config.php'），这类得靠 RIPS 或人工 - 若项目用了 Laravel 或 ThinkPHP，部分框架封装的
DB::select()可能被误标，建议在 ruleset.xml 里临时禁用SQLFunctionsSniff，改用composer audit补位
composer audit：依赖漏洞的“血压计”，每天不跑等于裸奔
它查的是 vendor/ 下已安装包的 CVE 记录，和代码逻辑无关，但 70% 的线上 RCE 来自过时的 monolog 或 guzzlehttp。不跑这个，其他审计都是修屋顶漏地板。
- 默认只报中高危，加
--strict才让 CI 失败；在 GitHub Actions 里推荐加这一句：composer audit --no-dev --strict || exit 1 -
--ignore不是忽略漏洞，是忽略某条 advisory 的提示——比如你确认某个 CVE 在当前使用方式下不可利用，才加进去 - 如果报
Could not fetch advisories，先检查网络能否访问https://security.symfony.com；私有包仓库需在composer.json的config里配"secure-http": false（仅限内网） - 注意
--no-dev：CI 环境应始终加上，避免因开发依赖（如phpunit）的漏洞导致构建失败，而它们根本不会进生产环境
Seay 和 RIPS 怎么选：Windows 快速摸排 vs Linux 持续集成
Seay 是 Windows 桌面程序，RIPS 是 PHP 写的 Web 应用，底层能力接近，但部署逻辑完全不同。
立即学习“PHP免费学习笔记（深入）”；
- Seay 启动依赖
.NET Framework 3.5（不是 4.5），Win10/11 默认不装，手动启用需管理员权限；扫描时勾选Subdirs才递归，否则只扫一级目录 - RIPS 部署后访问
/rips/，上传 ZIP 或填绝对路径；它会解析$_GET/$_POST到echo的完整污点链，但对 Laravel 的request()->input()支持弱，容易断链 - 两者都靠正则匹配敏感函数，所以
call_user_func($func, $arg)这类间接调用大概率漏掉；看到preg_replace('/.*/e', ...)要立刻人工确认——/e修饰符在 PHP 7.0+ 已移除，但老项目可能还留着 - 别信“一键生成 HTML 报告”；报告里标红的
XSS漏洞，90% 需要你打开对应文件，看输出前有没有经过htmlspecialchars()或模板引擎自动转义
真正卡住问题的地方：过滤逻辑和框架入口你根本没细看
工具能标出 echo $_GET['name']，但不会告诉你这个参数其实在 app/middleware/SecurityFilter.php 里已被 strip_tags() 处理过；也不会提醒你 ThinkPHP 的 input('get.name') 默认做了 htmlspecialchars，但 input('get.name', '', 'raw') 就绕过去了。
最常被跳过的动作是：打开入口文件（index.php 或 public/index.php），顺藤摸瓜找到所有 require/include 的配置和过滤文件，再 grep 关键字 addslashes、htmlspecialchars、filter_var —— 工具报的每个高危点，必须回到这里验证是否已被全局拦截。这步省了，所有扫描结果都只是参考坐标。
