ThinkPHP public方法注入能绕过路由校验，根本原因是框架将反斜杠“\”视为命名空间分隔符而非非法字符，且未对类名/方法名做白名单限制，导致s参数可直接解析为think\app::invokefunction等可反射调用的public方法。
public 方法注入为什么能绕过路由校验
ThinkPHP 的 public 方法注入（如 index/think\app/invokefunction）之所以能生效，根本原因在于框架在解析控制器名时，把反斜杠 \ 当作命名空间分隔符而非非法字符处理，且未对类名/方法名做白名单限制。攻击者传入的 s=index/think\app/invokefunction 会被路由模块识别为调用 think\app::invokefunction，而该方法是 public 的、可反射调用的，并且参数完全由用户控制。
哪些 public 方法实际构成执行入口
不是所有 public 方法都危险，但以下几类在 ThinkPHP 历史版本中被反复利用，因其参数直接参与函数调用或类实例化：
-
think\app::invokefunction：接收function和vars参数，可调用任意函数（如phpinfo、system） -
think\controller\invoker::invokeMethod（TP5.1）：若控制器继承了 invoker，且方法名可控，可触发任意 public 方法 -
think\request::filter（旧版）：当filter参数被用于call_user_func类调用链时，可能触发代码执行 -
think\model::get配合恶意with或relation参数（TP6.0+）：若关联定义被污染，可能触发魔术方法或回调执行
为什么调试模式关闭后仍可能触发
很多人误以为关掉 app_debug 就安全了，其实不然。public 方法注入不依赖错误信息泄露，它走的是正常路由分发流程：
- 路由解析阶段就已完成类/方法定位，
app_debug => false只影响异常堆栈输出，不影响invokefunction的执行逻辑 - 即使关闭调试，只要
think\app类存在、invokefunction是 public、且未被框架新版移除或加访问控制，请求就能直达 - 某些部署环境（如 Docker + Apache + mod_rewrite）还会放大风险：URL 中的
\不被 Web 服务器提前转义，原样透传给 ThinkPHP
修复时最容易忽略的兼容性点
升级或打补丁时，光改路由规则或删类远远不够，必须同步检查三处隐性依赖：
立即学习“PHP免费学习笔记（深入）”；
- 第三方扩展包是否显式调用了
think\app::invokefunction（比如某些老版 API 网关插件） - 自定义的
BaseController是否重写了__call并反射调用用户传入的方法名 - 日志中间件或性能监控 SDK 是否在记录请求时，把原始
s参数未经清洗就写入了缓存键或数据库字段——这可能为后续二次利用埋点
真正卡住 public 方法注入的，从来不是“有没有这个类”，而是“它能不能被路由识别 + 参数能不能被用户控制 + 执行路径里有没有没被拦截的反射调用”。这三个条件缺一不可，但开发者常只盯第一个。
