需立即修复Yii2.0.46反序列化漏洞，包括删除RunProcess.php、升级至2.0.47+、重置runtime/assets权限、配置伪静态规则并清理Composer自动加载缓存。
修复 Yii2.0.46 版本中已知的反序列化链漏洞（如 Codeception/RunProcess.php 的 __destruct → stopProcess → isRunning → __call 触发点）和 runtime 目录权限绕过风险，需同步处理代码层、运行时权限与部署配置三类问题，缺一不可。
确认当前版本并定位高危文件
进入项目根目录，执行 grep 'VERSION' vendor/yiisoft/yii2/Yii.php，确认输出包含 2.0.46；若为 2.0.45 或更低，此指南不适用。
重点检查 vendor/codeception/codeception/ext/RunProcess.php 是否存在且未被移除——该文件在 2.0.46 中仍默认安装，但官方已在 2.0.47+ 中废弃并移除。
【必须操作】 若该文件存在，立即执行 rm -f vendor/codeception/codeception/ext/RunProcess.php。保留它等于保留一个无需登录即可触发的反序列化入口。
升级核心依赖并禁用危险扩展
方法一：直接升级至安全版本（推荐）
执行 composer require yiisoft/yii2:~2.0.47 --update-with-dependencies，Composer 将自动降级或替换冲突依赖。
方法二：手动剔除 Codeception 扩展（适用于无法升级的生产环境）
编辑 composer.json，从 require-dev 区块中彻底删除 "codeception/codeception" 及其所有子包（如 codeception/module-phpbrowser）；然后运行 composer update --no-dev。
注意：仅运行 composer remove codeception/codeception 不够，部分子包可能残留，必须清空 require-dev 后重装。
重置 runtime 和 assets 权限并锁定写入范围
第一步：停止所有 PHP 进程与 Swoole 服务
执行 sudo systemctl stop feehi feehi-backend（若使用 systemd 管理），或手动 kill 所有 php yii 进程。
第二步：递归修正权限
执行 sudo chown -R www:www /path/to/your-project/runtime /path/to/your-project/assets，确保属主为 Web 服务器用户。
第三步：关闭非必要写入权限
执行 find /path/to/your-project/runtime -type d -exec chmod 750 {} \;，再执行 find /path/to/your-project/runtime -type f -exec chmod 640 {} \;。这能阻止攻击者通过日志文件写入 Webshell。
【关键前提】 必须先停服务再改权限，否则 runtime 下的 server.pid 或 lock 文件正被占用，chmod 会失败且后续 Swoole 启动报错。
验证伪静态规则并禁用 index.php 暴露
登录宝塔面板 → 网站 → 对应站点 → 伪静态 → 确认已选择「Laravel5」模板，或手动核对内容是否完全匹配：
location / {<br> try_files $uri $uri/ /index.php?$args;<br>}
若发现规则中存在 if (!-e $request_filename) 或 rewrite ^/(.*)$ /index.php?r=$1 last; 等非标准写法，立即删除——这些是 Nginx 重写陷阱，会导致 404 或循环跳转。
打开 web/config/main.php，找到 'urlManager' 配置块，确认 'showScriptName' => false 已启用，且 'enablePrettyUrl' => true。若二者为 false，则 index.php 会明文暴露，增加 SSRF 与路径遍历风险。
清理并重建 Composer 自动加载映射
执行 composer dump-autoload -o，强制生成优化后的类映射表。
删除 vendor/composer/autoload_static.php 和 vendor/composer/autoload_classmap.php 后再执行上一步——旧映射可能缓存了已被删除的 RunProcess 类路径，导致漏洞仍可被 autoload 加载。
最后，清空 runtime/cache/ 下全部文件，避免缓存中存在恶意构造的序列化数据残留。
