ThinkPHP 3.2.2变量过滤缺陷高频出现，关键在于过滤是否在可信上下文执行、是否覆盖全部输入路径、是否可被绕过：一看变量来源（如I()未指定来源顺序易被污染）、二查过滤逻辑（如htmlspecialchars防XSS不防SQLi、intval绕过、白名单忽略大小写/空格）、三验危险调用链（eval、include、system等直接使用未过滤变量）。
ThinkPHP 3.2.2 是一个已停止官方维护的旧版本（2016年左右主流使用），其默认安全机制较弱，变量过滤缺陷在代码审计中高频出现。识别关键不在于“有没有过滤”，而在于“过滤是否在可信上下文中执行、是否覆盖全部输入路径、是否可被绕过”。以下从三个实操维度展开：
看变量来源是否直接暴露给用户输入
ThinkPHP 3.2.2 中，input()、I()、$_GET/$_POST/$_REQUEST 都是高危入口。尤其注意：
— I('id') 或 I('name','','htmlspecialchars') 看似有处理，但若未指定第二参数（如 I('id') 默认取 GET/POST/COOKIE 混合顺序），可能被低优先级来源污染；
— 使用 $_FILES['file']['name'] 取原始文件名却未重命名，极易触发上传绕过；
— 调用 M()->where(array('id' => I('id')))->select() 时，I('id') 若未强制转整型或白名单校验，就构成数字型注入温床。
查过滤逻辑是否可被绕过
常见“假过滤”模式包括：
— 仅对变量做 htmlspecialchars() 但后续拼接进 SQL 或系统命令（它防 XSS 不防 SQLi）；
— 用 intval() 处理字符串如 intval('123abc') → 123，看似安全，但若业务允许 id=0 表示“全部”，攻击者可传入 '0 or 1=1' → intval 后为 0，仍可能触发逻辑绕过；
— 白名单校验写成 in_array(I('type'), ['jpg','png'])，但未 trim() 且忽略大小写，'JPG ' 或 'php.' 可绕过；
— 对文件后缀用 end(explode('.', $_FILES['f']['name']))，无法处理 a.php.jpg、shell.PHP::$DATA、1.jpg%00.php 等经典绕过手法。
验关键操作是否跳过过滤直接使用变量
重点关注以下典型危险调用链：
— eval()、assert()、call_user_func()、create_function() 等动态执行函数，若参数含 I('callback') 或 $_GET['s']，基本等于开放远程代码执行；
— include/require 拼接模板路径如 include './Tpl/'.I('t').'/index.html'，若 I('t') 未白名单限制，可导致任意文件包含（LFI）；
— system()/exec() 执行 shell 命令，如 system('ping '.I('ip'))，未过滤分号、&、|、$()、反引号等，即为命令注入；
— ThinkPHP 自带的 U() 函数生成 URL 时若传入未经校验的 I('module')，可能污染路由，结合调试模式开启可导致日志路径泄露或 .htaccess 写入。
立即学习“PHP免费学习笔记（深入）”；
