ThinkPHP跨版本漏洞修复需配置、代码、运行环境三者协同，必须同步调整防跨站与PHP路径配置、框架核心安全配置、入口与请求层加固、Web服务器层规则四类设置，缺一不可。
ThinkPHP跨版本漏洞修复不是只改一个地方就能搞定的事，关键在于配置、代码、运行环境三者协同生效。不同版本（如3.2、5.x、6.x）漏洞类型差异大，但修复逻辑有共性——必须同步调整以下四类配置，缺一不可。
防跨站与PHP运行路径配置
- 宝塔面板中站点的「防跨站攻击」白名单必须精确到
public目录（例如/www/wwwroot/your-site/public），不能只填项目根目录 - Nginx 的
root指令必须指向public目录，不是项目根目录；否则SCRIPT_FILENAME为空，报No input file specified - PHP-FPM 池的
open_basedir值要包含public路径及必要系统路径，格式为：/www/wwwroot/your-site/public:/tmp:/proc:/dev/urandom - 修改后必须重启对应 PHP 版本服务（宝塔命令
bt 16），否则配置不加载
框架核心安全配置
- 关闭调试模式：
app_debug => false，同时禁用app_trace和remote_debug - 禁用自动路由：
auto_route => false，避免未定义控制器被调用 - Cookie 全局启用
httponly => true和secure => true（HTTPS 环境下），防止 XSS 窃取会话 - 日志级别限制为
['error', 'warning']，避免敏感参数、SQL、堆栈泄露到日志文件
入口与请求层加固
立即学习“PHP免费学习笔记（深入）”；
- 在
public/index.php开头添加参数过滤逻辑，拦截含\think\、_method、function、call_user_func等关键词的 GET/POST/COOKIE 请求 - 限制允许的 HTTP 方法，仅保留
GET、POST、PUT、DELETE，其余返回 405 - 禁用危险函数（如
eval、system、exec）需配合 runkit 扩展重命名，或通过disable_functionsphp.ini 配置项全局禁用
Web服务器层规则补充
- Nginx 配置中加入 location 规则，拒绝访问
Runtime/Logs/、application/、config/等敏感路径 - 拦截含
${@...}、/think\app/invokefunction、?s=/index/等典型 RCE 特征的 URI - 对
.log、.php、.ini文件在非 Web 入口目录下的直接请求返回 403
不复杂但容易忽略
