ThinkPHP 8.1.4官方无路径穿越漏洞，安全稳定；但业务代码若手动拼接用户输入（如lang/file参数）至文件操作函数且未规范校验路径，仍可能触发目录遍历。
ThinkPHP 8.1.4 官方未披露路径穿越漏洞，当前版本（截至2026年10月）属安全稳定版，无已知 CVE 或官方通告的路径遍历类缺陷。但实际业务中若出现类似现象，往往不是框架本身问题，而是开发过程中引入的逻辑风险——比如自定义语言加载、文件导出、静态资源读取等接口，错误拼接用户输入导致路径失控。
重点排查自定义功能点
ThinkPHP 8 默认禁用动态路径解析，不自动处理 lang=、file= 等参数。漏洞多出自开发者手写的控制器逻辑：
- 检查是否有 手动拼接文件路径 的代码，例如：
file_get_contents(ROOT_PATH . 'lang/' . $_GET['lang'] . '.php')； - 搜索项目中是否使用了 未过滤的用户参数 作为
include、require、fopen、readfile等函数的路径参数； - 确认是否在 API 接口中直接将
$_GET['path']或$request->param('file')用于文件操作，且未做目录白名单或规范化校验。
验证路径是否被规范化解析
即使代码里写了 strpos($input, '..') 过滤，也可能被绕过。需实测路径标准化行为：
- 传入
?file=..%2f..%2fconfig%2fapp.php（URL 编码的 ../）； - 尝试
?file=.%2f.%2fconfig%2fapp.php（./ 变体）； - 用
realpath()手动测试服务端解析结果：var_dump(realpath(ROOT_PATH . 'lang/' . $userInput));，看是否仍能跳出ROOT_PATH范围。
检查中间件与配置残留
部分问题并非代码层，而是部署或配置疏忽：
立即学习“PHP免费学习笔记（深入）”；
- 确认 Nginx/Apache 是否禁用对 .php、.env、.git 等敏感路径的直接访问，避免因静态文件规则宽松导致源码泄露；
- 查看是否启用了 ThinkPHP 的
debug模式（app_debug = true），生产环境开启会暴露路径和异常堆栈，辅助攻击者探测结构； - 检查
public/.htaccess或nginx.conf中是否存在autoindex on或开放根目录列表功能。
快速验证是否存在可利用点
在测试环境模拟常见 payload，观察响应差异（注意：仅限授权测试）：
-
/index.php?s=/lang/zh-cn&lang=../../config/app—— 测试多语言加载点； -
/index.php?s=/api/download&file=../runtime/log/202610/15.log—— 测试下载接口； -
/index.php?s=/static/js/test.js&v=../../../.env—— 测试静态资源路由是否被误用作文件读取入口。
只要路径拼接未强制限定在白名单内、未调用 realpath() 校验、未关闭调试信息，就存在被利用可能。修复核心不是加一层字符串过滤，而是改用键值映射（如 ['zh-cn' => 'zh-cn.php']）或统一由框架资源管理器加载。
