ThinkPHP漏洞修复需建立持续防御机制而非仅打补丁。应建立版本盯防、订阅安全通告、严控业务层高危写法、用户输入三关过滤及上线前三项硬性检查。
ThinkPHP漏洞修复不是打个补丁就完事，关键在防止同类问题反复出现。很多新手修完一个RCE或SQL注入，过几个月又冒出新漏洞，根本原因不是技术不会，而是缺乏持续防御的习惯和机制。
升级不能只做一次，要建立版本盯防机制
ThinkPHP的漏洞常集中在特定版本段：比如6.0.0–6.0.13有反序列化RCE（CVE-2024-48112），5.1.22之前有控制器绕过，3.2.x至今还在被批量利用preg_replace /e。
- 每次上线前运行
php think version确认真实版本号，别只看composer.json里的大版本 - 把
composer update topthink/framework:^6.0.14加入CI/CD流程，禁止手动跳过 - 订阅ThinkPHP安全通告（官网公告页+GitHub Security Advisories），设置企业微信/钉钉关键词提醒（如“CVE”“RCE”“lang参数”）
业务代码里藏着最多隐患，必须盯紧五类高危写法
框架升级后，90%以上的漏洞实际出在业务层：
- 动态调用类或方法：
call_user_func($callback, ...)、$obj->$method()，参数来自input('action')就危险 - 表单规则或模板里用
eval()或create_function()执行用户输入的字符串 - 配置文件用
include config_path.'/'.$lang.'.php'拼接路径，没走realpath()校验 - 命令行脚本（如
php think vps:test）里直接eval($argv[2]) - 多语言加载时把
input('lang')原样拼进文件路径，没加白名单限制
所有用户输入都要过三关，不信任任何来源
- 第一关：入口过滤——在中间件里统一拦截含
s=,/think\app/invokefunction,function=call_user_func的请求，直接403 - 第二关：参数净化——不用
I()或原始$_GET，改用input('id/d', 0)强制转整型，input('name/s', '')强制转字符串并trim - 第三关：输出隔离——模板里一律用
{:}而非{}，数据库字段名不用变量拼接，SQL条件用数组方式而非字符串拼接
上线前必做三件事，比写代码还重要
- 关闭调试模式：确认
.env里APP_DEBUG=false且SHOW_ERROR_MSG=false，同时清空runtime/目录再重启服务 - 锁死路由行为：
config/route.php中设'url_route_must' => true，app/route.php里明确写Route::miss(fn() => abort(404)) - 禁用高危PHP配置：
php.ini中加入disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec,unserialize（注意测试缓存是否受影响）
不复杂但容易忽略。
立即学习“PHP免费学习笔记（深入）”；
