ThinkPHP 5.1 升级至 6.0 必须嵌入漏洞治理：起步至少用已修复 CVE-2022-38352 的 6.0.14+ 版本，同步锁定所有 topthink/ 子包版本，清理 league/flysystem-cached-adapter 等高危组件，并重审 Session、模型反序列化、路由校验等三类高频风险点。
升级 ThinkPHP 老版本（如 5.1）到 6.0 的过程，不能只盯着功能兼容，更得把漏洞治理嵌入整个升级流程——因为旧版遗留的不安全写法、过期组件、未校验输入，在新框架下可能被放大甚至触发高危漏洞（比如 CVE-2022-38352 这类反序列化 RCE）。关键不是“升完再修”，而是“边升边堵”。
先锁死基础面：版本与依赖必须干净
ThinkPHP 6.0.x 各小版本差异大，6.0.1 有任意文件写入，6.0.13 有反序列化 RCE，而 6.0.14+ 才修复这些。所以：
- 直接跳过 6.0.0–6.0.13，起步至少用 6.0.14 或更高 LTS 版本（如 6.0.16）
- 检查
composer.json中所有topthink/相关包（think-orm、think-view等），确保全部锁定在已修复版本，避免“主框架升级了，子包还是带毒的老版” - 删掉
vendor/league/flysystem-cached-adapter或降级到v1.1.0以下——CVE-2022-38352 就源于它和 TP6 的交互链
代码层必须重审：三类高频漏洞点重点清理
老项目常存在“能跑就行”的写法，TP6 不再宽容。以下几处不改，升级后反而更危险：
-
Session 写入滥用：避免
session($key, $value)直接传用户可控参数（如$_GET['a']），改用Session::set()并过滤键名；关闭非必要 session 驱动（如 file 驱动慎用于生产） -
模型反序列化风险：禁用
unserialize()直接触发点；若必须反序列化外部数据，加白名单类限制（如 PHP 8.1+ 的allowed_classes参数） -
路由与参数校验缺失：TP6 的
validate规则默认不启用，需在控制器方法前显式调用；URL 中的id、filename类参数必须做类型强转（如(int)$id）和白名单校验
环境配置同步加固：Nginx + PHP 层不能掉链子
伪静态失效只是表象，背后常暴露权限与路径隐患。升级后务必验证并收紧：
立即学习“PHP免费学习笔记（深入）”；
- Nginx 的
location /块必须在location ~ \.php$之前，且使用try_files $uri $uri/ /index.php?$query_string;，禁用if (!-e $request_filename)这类易引发循环的旧写法 - 确认
fastcgi_param PATH_INFO $fastcgi_path_info;和fastcgi_split_path_info ^(.+\.php)(/.+)$;两行完整存在且未被注释——缺一不可，否则攻击者可能绕过路由直接访问敏感文件 - PHP 配置中关闭
display_errors = Off、expose_php = Off，运行目录严格设为/public，禁止 web 目录可写 runtime 以外的任何路径
验证不靠首页：用漏洞思维测升级结果
首页能打开 ≠ 安全。用三个低成本动作交叉验证：
- 访问一个不存在路由（如
/xyz123）：返回 TP6 自带 404 页面 → 请求进框架；返回 Nginx 默认 404 → rewrite 失效，攻击面暴露 - 在
public/index.php顶部加var_dump($_SERVER['PATH_INFO']);die;，访问/index/test，输出应为/index/test—— 若为空，说明 PATH_INFO 未传递，__destruct类 POP 链可能被绕过利用 - 查
/www/wwwlogs/yourdomain_error.log，出现rewrite or internal redirection cycle提示，说明配置冲突，需立即修正，否则可能被用于 DoS 或路径穿越
