优先修复ThinkPHP高危漏洞需“堵入口、限行为、升版本”三步走：入口拦截敏感参数并返回403；手动修补Request::method()绕过和控制器未校验漏洞；关闭auto_route、调试及高危配置；Web服务器层补充Nginx/Apache防护规则统一返回403。
优先修复ThinkPHP高危漏洞，核心是“堵入口、限行为、升版本”三步走，不等完全重构就先切断攻击链。
立即拦截危险请求参数
在入口文件 public/index.php 中，define('APP_PATH', ...) 后插入过滤逻辑，直接拒绝含敏感关键词的请求：
- 检查 GET/POST/COOKIE 中是否含
s、_method、function、vars、filter、hink等字段 - 对值中包含
hink或调用call_user_func类函数的请求，直接返回 403 - 限制 HTTP 方法仅允许
GET、POST、PUT、DELETE，其余一律 405
手动修补关键漏洞点
针对最常被利用的两个路径，定位修改源码（无需升级框架）：
-
Request::method() 方法绕过漏洞（影响
5.0.x ）：打开 <code>thinkphp/library/think/Request.php，在解析var_method参数处加入白名单校验，只允许GET/POST/PUT/DELETE/PATCH -
控制器名未校验漏洞（影响
5.0.x ）：在 <code>thinkphp/library/think/App.php的module()方法中，获取$controller后加正则判断：if (!preg_match('/^[A-Za-z][w.]*$/', $controller)) { throw new HttpException(404); }
关闭默认高危配置
修改 config/app.php，禁用易被滥用的功能：
立即学习“PHP免费学习笔记（深入）”；
- 设
'auto_route' => false（防止路由未定义时被暴力猜解） - 强制关闭调试：
'app_debug' => false、'app_trace' => false、'remote_debug' => false - 日志级别收缩为
['error', 'warning']，避免敏感信息落盘
Web服务器层加防护
在 Nginx 或 Apache 配置中补充规则，作为最后一道防线：
- Nginx 示例：用
location拦截含/thinkpp/invokefunction、call_user_func_array、eval(的 URI - Apache 示例：用
.htaccess中的RewriteCond过滤s=.*\think\类请求 - 所有规则统一返回 403，不暴露框架细节
