ThinkPHP缓存漏洞核心风险是攻击者通过换行注入向缓存写入恶意PHP代码并远程执行，防御需切断“输入→序列化→落盘→执行”全链路，包括过滤换行符、禁用动态键名、隔离执行环境及升级至TP8.1.0+。
ThinkPHP缓存漏洞的核心风险在于：攻击者可向缓存写入恶意PHP代码（如换行注入+eval执行），最终通过访问缓存文件获得远程代码执行权限。这类漏洞在TP3.2.x中尤为典型，但TP5/6若业务逻辑不当仍可能复现。防御关键不是“只修一个点”，而是切断“输入→序列化→落盘→执行”整条链路。
立即堵住缓存写入入口
所有缓存写入操作必须先过滤换行与危险字符，尤其防范%0A（\n）、%0D（\r）绕过：
- 打开
thinkphp/library/think/cache/driver/File.php，定位set()方法，在$data = serialize($value);后插入：$data = str_replace(["\n", "\r", PHP_EOL], '', $data); - 若使用TP5/6，检查是否启用了
S()或cache()直接写入用户输入——禁止此类用法。例如S('user_input', input('data'))必须改为白名单键名或前置校验。 - 确认缓存前缀配置（如
DATA_CACHE_PREFIX）为固定字符串，不拼接用户可控内容；子目录级别（DATA_PATH_LEVEL）建议设为1或2，避免缓存文件集中暴露。
强制隔离缓存文件执行环境
即使恶意内容写入，也不应被Web服务器解析执行：
- 将
runtime/cache/目录移出Web根目录（如移到/data/thinkphp-cache/），并在config/cache.php中更新'path'配置。 - 若必须保留在Web可访问路径下，需在Nginx/Apache中明确禁止PHP解析：
Nginx示例：location ^~ /runtime/cache/ { deny all; }
Apache示例：在runtime/cache/.htaccess中写入Deny from all+php_flag engine off。 - 确保缓存文件权限为
644，目录权限为755，且运行PHP的用户（如www-data）对缓存目录仅有写权限，无执行权限。
从业务层清除高危缓存模式
框架补丁只能防已知手法，真正杜绝复发要清理五类危险写法：
立即学习“PHP免费学习笔记（深入）”；
-
禁用动态键名缓存：如
S(input('cache_key'), $data)—— 改为硬编码键名或白名单映射：$keyMap = ['user' => 'user_cache', 'order' => 'order_cache']; $realKey = $keyMap[input('type')] ?? null; -
拒绝序列化用户输入：表单数据、JSON参数、URL参数不得直接传给
S()；需先校验类型（如is_string()、is_numeric()）、长度、正则格式，再决定是否缓存。 -
关闭调试态缓存自动加载：检查
config/app.php中'app_debug' => false是否生效，并清空runtime/全目录——残留的调试缓存可能含未过滤数据。 -
禁用缓存驱动中的压缩与加密开关：如
DATA_CACHE_COMPRESS或DATA_CACHE_CHECK开启后可能干扰过滤逻辑，生产环境建议关闭。 - 邮件模板、规则引擎等场景禁用缓存渲染：富文本内容、验证规则字符串不得落盘为PHP缓存文件，改用内存缓存（如Redis）或预编译表达式。
长期防护机制
修复不是终点，而是建立可持续防线：
- 每次部署前执行扫描：
grep -r "S(" ./app/ ./common/ --include="*.php" | grep -i "input\|get\|post\|request"，人工核查是否存在未经滤的缓存写入。 - 在CI/CD流程中加入缓存安全检查：自动检测
cache.php配置是否启用非安全选项，runtime/是否在Web路径内。 - 升级到TP8.1.0及以上版本（兼容PHP 8.4+），该版本已重构缓存驱动默认行为，对换行与反序列化更严格，且默认禁用危险函数自动加载。
