ThinkPHP漏洞反复出现的根本原因是业务代码中仍存在动态调用、模板执行、配置包含等五类高危写法；必须立即执行三步止血（关闭调试、强制升级、拦截高危函数）并彻底清理五大业务雷区，否则即使升级最新版仍会被扫出RCE。
ThinkPHP漏洞反复出现不是因为补丁没打全，而是业务代码里还埋着动态调用、模板执行、配置包含这五类高危写法——不清理它们，哪怕升到最新版，下个月照样被扫出RCE。
立即切断攻击入口（三步止血）
这三步必须在10分钟内完成，否则日志文件可能已被读取、调试信息已暴露、攻击者已在后台写入shell。
关闭调试模式：打开config/app.php，确认'app_debug' => false、'app_trace' => false、'remote_debug' => false三项均为false；然后手动清空Runtime/Log/目录下所有文件——【不清空日志，等于把数据库密码贴在门上】。
强制框架升级：TP5.x必须升至5.1.42+（非5.0.24），TP6.x必须升至6.0.14+；执行composer update topthink/framework:^6.0.14后，运行php think version验证输出版本号是否真实生效——【只改composer.json不执行update，等于给漏洞留后门】。
立即学习“PHP免费学习笔记（深入）”；
禁用高危函数拦截：在public/index.php中define('APP_PATH', ...)之后插入检测逻辑，对请求参数中含eval、assert、call_user_func、$$的直接返回403；该规则能拦住90%自动化扫描器。
清理五大业务雷区（根源清除）
框架升级后仍被攻破，97%以上案例都源于以下五类写法。必须逐行检查业务代码，不能仅靠扫描工具。
方法一：动态类名/方法名调用
禁止写call_user_func($action, $data)或$obj->$method()且$action、$method来自URL或表单；改为白名单映射：$map = ['export' => 'doExport', 'import' => 'doImport']; $func = $map[$input] ?? null;；若$func为null则抛出404，不执行任何fallback逻辑。
方法二：模板/规则字符串执行
邮件模板、表单校验规则、富文本渲染中禁用eval()和create_function()；统一替换为Symfony ExpressionLanguage预编译引擎，或硬编码白名单函数如strlen、date、in_array，其余一律拒绝。
方法三：配置文件动态包含
禁止include 'config/'.$tenant.'.php'这类写法；先校验$tenant是否严格等于['admin', 'user', 'api']中的某一个，否则直接中断；更优解是改用JSON配置+json_decode(file_get_contents(...))，彻底规避PHP执行上下文。
方法四：未过滤的命令行脚本
VPS测试脚本、定时任务中严禁拼接用户输入调用shell_exec()或exec()；所有参数必须经escapeshellarg()包裹；若逻辑简单，直接用file_get_contents()、json_encode()等原生函数替代shell调用。
方法五：Cookie和Session安全缺失
确保cookie.httponly = true、cookie.secure = true（HTTPS环境）、cookie.samesite = 'Lax'；Session ID绝不存入URL或表单隐藏域；检查config/session.php中'use_trans_sid' => false已启用。
建立防御闭环（自动监控）
第一步：上线前加静态扫描
在CI/CD流程中集成PHPStan，配合自定义规则检测eval、unserialize、call_user_func、$$、preg_replace带/e修饰符的调用；发现即阻断构建，不许合并到主分支。
第二步：运行时请求拦截
在全局中间件中监听Request::pathinfo()，对含../、php://、data://、双斜杠//或连续点号....的路径直接abort(403)；同时用Cache::tag('ip_ban')记录IP 60秒内访问非白名单路由次数，超15次写入1小时黑名单。
第三步：Web服务器层加固
Nginx配置中添加：location ~* "(s=|/think\app/invokefunction|function=call_user_func)" { return 403; }；Apache中对应.htaccess规则：RewriteCond %{QUERY_STRING} s=.*\think\ [NC,OR]→RewriteRule ^ - [F]；所有规则统一返回403，不输出任何框架标识。
