PHP框架审计中生成器安全分析需聚焦代码生成器是否引入未经校验的模板变量、是否执行动态类名或方法名、是否允许用户控制文件写入路径等高危行为，直接关系到远程代码执行与路径遍历风险。
识别生成器入口点与调用链
先定位项目中所有代码生成器的触发位置：搜索generate、make:、create:等命名的Artisan/Symfony CLI命令；检查vendor/bin/下是否存在自定义生成脚本；扫描src/Generator/、app/Console/Commands/等目录中的类文件。
重点标记调用file_put_contents、eval、call_user_func或class_exists并拼接用户输入的代码行——这类调用若未做白名单过滤，极易导致RCE。
【必须确认生成器是否接收$_GET、$_POST或路由参数作为模板变量来源】。若存在类似$data = $_GET['tpl_name']; file_put_contents("{$data}.php", $content);的逻辑，攻击者可构造?tpl_name=../../public/shell实现任意文件写入。
检查模板渲染上下文安全性
方法一：审查生成器是否使用原生eval()或create_function()解析用户传入的模板字符串。
立即学习“PHP免费学习笔记（深入）”；
方法二：若使用Twig/Blade等模板引擎，确认其是否禁用了eval、system等危险函数扩展，并验证autoescape是否全局启用——未开启时，{{ user_input }}会直接输出原始内容，生成的PHP文件可能包含恶意代码。
方法三：检查模板中是否允许插入{% include %}或@include指令加载外部路径。若路径由用户控制（如@include($path)），且未限制前缀为resources/templates/等可信目录，则可触发任意文件读取甚至LFI。
验证输出文件路径与权限控制
第一步：找到生成器中file_put_contents或fopen的调用位置。
第二步：检查目标路径是否经过realpath()和str_starts_with()校验，确保不脱离项目根目录。例如：
✅ 正确：if (!str_starts_with($target, BASE_PATH . '/app/')) { throw new InvalidArgumentException(); }
❌ 危险：$target = __DIR__ . '/../' . $_POST['filename']; file_put_contents($target, $code);
第三步：确认生成文件的父目录是否具备写权限但**不可执行**。在Linux上执行ls -ld app/Generators/Output，若返回结果含drwxr-xr-x而非drwxr-xr--，说明组用户仍可执行该目录下脚本——这违反最小权限原则。
第四步：检查生成器是否对输出文件扩展名做强制约束。允许用户指定.php、.phtml或.phar扩展名，且未拦截.htaccess等配置文件，将导致Web服务器误解析为可执行脚本。
测试反序列化与动态类加载风险
运行grep -r "unserialize\|__autoload\|spl_autoload_register" . --include="*.php"，锁定生成器中处理用户提交的序列化数据的位置。
若生成器接受Base64编码的序列化字符串并直接unserialize()，且未设置allowed_classes白名单，则可利用PHPGGC生成ThinkPHP/Laravel等框架的POP链，触发任意代码执行。
特别注意class_exists($_GET['class'])这类调用——当$_GET['class']为system或PDO时，可能绕过自动加载机制触发危险类初始化。
