ThinkPHP5.1和6.0漏洞修复路径不同：5.1已停止维护，需停调试、Nginx拦截、迁移至TP8；6.0须升至6.0.14+或禁用Lang中间件；两者均需入口熔断、Cookie加固及关闭调试。
ThinkPHP5.1和6.0漏洞修复步骤存在本质差异：5.1系列已停止维护，修复必须兼顾临时封堵与强制迁移；6.0虽仍在支持期，但6.0.0–6.0.13存在多个高危RCE和文件包含漏洞，升级路径更明确但动作更急迫。不区分版本直接套用同一套操作，可能漏掉关键拦截点或误升到无补丁版本。
ThinkPHP5.1漏洞修复必须走三步闭环
5.1.x自2022年起官方终止维护，【5.1.30是最后一个有安全修复的版本，且仅修复CVE-2022-28947控制器绕过】，之后所有漏洞均无补丁。因此修复不是“打补丁”，而是“设止损线+推迁移”。
第一步：立即停用调试并清除日志
把app_debug设为false，同时删掉runtime/log/下全部文件——调试开启时错误堆栈会暴露绝对路径和类名，这是自动化扫描器批量利用的起点。
第二步：Nginx层硬拦截高频攻击入口
在server块中加入：if ($args ~* "(s=|/think\app/invokefunction|call_user_func|eval\(|unserialize\()" ) { return 403; }
这能拦住90%的POC流量，比等PHP层过滤更前置、更可靠。
立即学习“PHP免费学习笔记（深入）”；
第三步：启动迁移倒计时
执行composer create-project topthink/think tp8 --stability=stable新建TP8环境，把业务模块逐个迁移过去；【禁止在5.1项目里尝试升到5.1.42+，该版本不存在，纯属误导】。
ThinkPHP6.0漏洞修复必须卡死两个版本节点
6.0系列仍受官方支持，但漏洞集中在6.0.0–6.0.13，其中CVE-2022-38352（反序列化RCE）和CVE-2024-48112（Lang包目录穿越）影响极广。修复核心是版本号必须精确到小版本，差一个号就等于没修。
方法一：一步到位升到安全基线
运行composer update topthink/framework:^6.0.14，升级后执行php think version确认输出为v6.0.14或更高——【只写^6.0或~6.0.0会锁在6.0.13，无法触发升级】。
方法二：若无法立即升级，先禁用多语言中间件
打开app/middleware.php，注释掉think\middleware\LoadLangPack::class这一行；再检查config/lang.php中'switch' => false是否生效。这个操作能直接切断CNVD-2022-86535的利用链。
两个版本共用的紧急加固项
无论5.1还是6.0，以下三项必须在修复开始前完成，否则升级或拦截都形同虚设：
① 入口文件加参数关键词熔断
在public/index.php顶部插入：foreach (['s', '_method', 'function', 'vars', 'lang'] as $k) { if (isset($_GET[$k]) && preg_match('/(eval|assert|system|exec|shell_exec|passthru)/i', $_GET[$k])) { http_response_code(403); exit; } }
② Cookie强制启用HttpOnly与Secure
在config/app.php的'cookie'配置块中，确保'httponly' => true且'secure' => true（HTTPS环境）——5.1默认不设HttpOnly，6.0虽默认true但常被开发者覆盖。
关闭调试模式、升级框架、禁用高危函数，这三步做完即可。
