必须检查access_control路径顺序、密码验证是否误用hashPassword、生产环境是否残留调试入口、路由参数是否缺失正则约束，四者任一缺失即存在越权或注入风险。
你要在PHP框架审计中精准识别Symfony应用的安全风险，必须绕过表面配置检查，直击防火墙联动逻辑、密码验证机制、环境变量控制和路由白名单这四个关键断点。漏掉任意一个，就可能让越权访问或密码爆破漏洞逃过检测。
查access_control规则是否被路径顺序破坏
打开config/packages/security.yaml，定位access_control区块。
逐条检查每条规则的path字段，确认更精确的路径写在前面：比如^/admin必须排在^/之前，^/api/user/{id}必须排在^/api/之前。
如果兜底规则path: ^/出现在第一条，后面所有细化路径规则全部失效——【这是90%线上Symfony项目access_control不生效的根源】。
立即学习“PHP免费学习笔记（深入）”；
运行php bin/console debug:security --firewall=main /any/path，观察输出中“Matched rule”指向哪一条，验证实际匹配路径是否符合预期。
验密码验证是否用错哈希比对方式
搜索控制器中所有涉及旧密码校验的代码段，例如修改密码、删除账户等敏感操作入口。
方法一：查找是否出现类似$passwordHasher->hashPassword($user, $request->get('old_password')) === $user->getPassword()的写法——这是典型错误，直接判定为高危漏洞。
方法二：确认是否调用$userPasswordHasher->isPasswordValid($user, $request->get('old_password'))——只有这一种调用方式才安全可靠。
【User实体必须实现PasswordAuthenticatedUserInterface，否则isPasswordValid会静默返回false】。
扫生产环境是否残留调试通道
第一步：检查Web服务器文档根目录下是否存在app_dev.php或index.php?debug=1等可触发调试器的入口文件。
第二步：确认APP_ENV和APP_DEBUG是否通过服务器环境变量强制设为prod和0，而不是靠.env文件——.env在生产环境被Git忽略后极易留空导致调试模式意外启用。
第三步：进入config/packages/prod/目录，核实web_profiler和debug包是否已从bundles.php中移除或明确禁用。
第四步：访问/public/_profiler/或任何带?_profiler=xxx的URL，若返回200且显示性能面板，说明防护完全失效。
抠路由参数是否做白名单约束
运行php bin/console debug:router，导出全部路由列表。
筛选出含占位符的路由，如/user/{id}、/post/{slug}，逐一打开对应YAML或注解定义。
检查是否声明requirements约束：id必须为\d+，slug必须为[a-z0-9\-_]+，禁止使用.*或无限制通配符。
若发现控制器内存在file_get_contents($_GET['path'])、$this->render($_GET['template'].'.html.twig')这类动态拼接操作，立即标记为严重风险——【此类代码可直接触发LFI或模板注入】。
