需立即禁用调试模式、彻底关闭Gii、启用CSRF验证并关闭PHP错误回显：删掉YII_DEBUG=true定义，注释或删除gii模块，控制器设enableCsrfValidation=true，main.php配置request组件启用CSRF，index.php中设display_errors=0，并通过Web服务器限制protected等目录访问。
修复Yii 1.1.30框架已知漏洞需从配置层立即堵住高危入口，包括禁用危险调试组件、收紧Gii访问权限、关闭敏感信息泄露开关，这些操作不依赖代码重写，5分钟内可完成生效。
禁用调试模式与错误信息暴露
打开 protected/config/main.php，找到 'log' => array(...) 上方的 'components' 区块，确认以下两项已删除或注释：
'log' => array( 'class' => 'CLogRouter', 'routes' => array( array('class'=>'CFileLogRoute','levels'=>'error, warning'), ), ),
如果仍保留日志组件，必须确保 'levels' 中不含 'trace' 或 'info' —— 否则调试堆栈会随HTTP响应头一并返回，攻击者能直接看到绝对路径、数据库凭证片段。
在文件顶部检查是否残留 defined('YII_DEBUG') or define('YII_DEBUG',true);，【必须删掉这行或改为 false】。YII_DEBUG=true 时，任意未捕获异常都会输出完整调用链，包含模型类名、Action路径、SQL语句模板。
彻底关闭Gii代码生成器
进入 protected/config/main.php，定位到 'modules'=>array( 'gii'=>array(...) 这一段。
将整个 'gii'=>array(...) 块用 /* */ 注释掉，或直接删除 —— 即使设置了密码和IP白名单，Gii仍存在未授权访问绕过风险（CVE-2014-1167 已证实可通过URL参数注入触发）。
若业务强依赖Gii，仅允许开发环境启用：把 'gii'=>array(...) 移入 if(YII_ENV==='dev'){...} 条件块内，并确保服务器上 YII_ENV 环境变量未被设为 dev。
加固CSRF与表单验证机制
第一步：在控制器基类 protected/components/Controller.php 的 init() 方法开头插入：
$this->enableCsrfValidation = true;
第二步：检查所有含 $this->render() 的视图文件，在表单起始处添加：<?php echo=""><!--?php--><!--?php--><!--?php--><!--?php--><!--?php-->?php> —— 这会生成隐藏域 <input type="hidden" name="YII_CSRF_TOKEN" value="...">。
第三步：确认 protected/config/main.php 中 'request'=>array('enableCsrfValidation'=>true) 已启用。若该配置项缺失，【必须手动补上】，否则所有POST请求均不校验token。
关闭PHP错误回显并限制文件访问
编辑项目根目录下的 index.php，在 require_once($yii); 之前加入：
ini_set('display_errors', '0'); error_reporting(0);
接着检查Web服务器配置：Apache需确保 .htaccess 文件中包含 Options -Indexes 和 Deny from all（针对 protected/、framework/ 目录）；Nginx需在server块中添加：location ~ ^/(protected|framework|assets)/ { deny all; }。
最后验证：直接浏览器访问 http://yourdomain.com/protected/，应返回403而非目录列表 —— 若能看到文件列表，说明Web服务器配置未生效，需重启服务。
