项目上线前必须完成ThinkPHP框架漏洞最终检查，使用thinkphp_gui_tools批量扫描RCE、反序列化等漏洞，人工复核Db::query拼接、模板XSS输出、lang参数目录穿越三大危险点，并关闭调试与高危功能。
项目上线前必须完成ThinkPHP框架漏洞的最终检查，避免因SQL注入、XSS、RCE等高危漏洞导致服务器被攻陷、数据泄露或业务中断——这一步漏掉，轻则被黑产批量打点，重则触发监管通报。
用thinkphp_gui_tools做批量自动化扫描
下载最新版thinkphp_gui_tools JAR包，确认Java环境为JDK 8（若用JDK 11+，需额外配置JavaFX模块路径，否则界面白屏且无报错）。
双击运行工具，点击【添加目标】→粘贴待检域名或IP列表（支持批量导入TXT，每行一个地址）→勾选“ThinkPHP 5.0.23 RCE”“5.1.x反序列化”“3.2逻辑绕过”等主流漏洞检测项→点击【开始检测】。
工具会自动识别框架版本并匹配对应POC，耗时约3～8秒/目标；若某目标返回HTTP 200且响应体含“phpinfo()”或“uid=”字样，说明RCE已验证成功，【立即下线该节点，不得进入上线流程】。
立即学习“PHP免费学习笔记（深入）”；
人工复核三个关键危险点
方法一：检查是否还在用Db::query()拼接用户输入
全局搜索项目代码中所有Db::query(字符串)，重点排查带input('xxx')、$request->param('xxx')、$_GET/$_POST变量拼接的位置——只要没用whereRaw()+占位符，就是高危SQL注入入口。
方法二：确认模板中是否存在未经过滤的变量输出
打开所有.html或.php模板文件，查找{$var}、{:input('xxx')}、这类写法；若变量来源是用户可控参数（如URL参数、表单提交），且未套用htmlspecialchars()或{:htmlspecialchars($var)}，【必须加esc处理，否则XSS必现】。
方法三：验证lang参数是否启用且未校验路径
检查app/middleware.php是否注册了 hinkmiddlewareLoadLangPack::class；再看config/lang.php中'switch' => true；最后在浏览器访问/index.php?lang=../../../../etc/passwd，若返回系统文件内容或500错误但日志出现路径遍历警告，说明存在目录穿越风险。
生产环境强制关闭调试与高危功能
第一步：打开config/app.php，确认以下配置已生效
'auto_route' => false,
'app_debug' => false,
'app_trace' => false,
'remote_debug' => false,
'log_level' => ['error', 'warning']
第二步：检查public/index.php，在define('APP_PATH', __DIR__ . '/../app/');之后插入危险参数拦截代码，重点过滤s、_method、filter、order、group、having、\think\等关键词——若请求中任一GET/POST参数名或值含这些字段，直接返回403。
第三步：登录服务器，执行grep -r "call_user_func" ./app/ ./runtime/，若发现非框架原生调用（如用户自定义函数里用了该函数），【必须删除或重构，此为RCE高危信号】。
