ThinkPHP 5.1 WAF 防护需分层设防：Nginx 层用 Lua 前置拦截攻击请求；TP 应用层强制路由、禁调试、限制目录访问；PHP 层加固反序列化、RCE、SQL 注入和 XSS；配合日志监控实现可管可控。
给 ThinkPHP 5.1 项目添加 WAF 防护，核心不是装个插件就完事，而是分层设防：在 Web 服务器层（Nginx）做前置拦截，在应用层（TP代码与配置）堵住已知漏洞入口，在运行时环境加固执行边界。WAF 是补充，不能替代安全编码和版本更新。
一、Nginx 层部署轻量级 WAF（推荐 Lua 方案）
这是最高效的一道防线——请求在到达 PHP-FPM 前就被识别、限流或拦截，不消耗 TP 应用资源。
- 安装
lua-resty-limit-req和lua-resty-waf（或精简自定义规则），确保 Nginx 编译时启用了 Lua 支持 - 精准匹配 TP 接口路径，避免误伤静态资源：
若使用 PATHINFO 路由，配置类似：location ~ ^/index\.php/(api|admin|v1)/ { access_by_lua_file /path/to/waf.lua; }
若已配置伪静态 rewrite，则直接作用于location /api/ { ... } - 拦截典型攻击特征：对 URL 或 POST body 中含
O:、s:、a:、__destruct、assert(、eval(、system(等字符串的请求直接返回 403 - 对高频异常请求（如 1 秒内超 10 次带
_method=__construct的 POST）自动限流或封 IP
二、关闭高危入口 + 强制路由（TP 层硬性防护）
很多 WAF 失效，是因为攻击流量本就“合法”地进入了框架内部。必须先收窄入口面。
- 在
app.php或route.php中开启强制路由：'url_route_must' => true，所有未定义的控制器/方法访问一律 404，可有效拦截/index.php?s=/index/\think\app/invokefunction类控制器漏洞 - 禁用调试模式：
'app_debug' => false，防止错误页面泄露类名、路径、调用栈，降低攻击者构造反序列化链难度 - 删除或重命名
runtime/目录下所有缓存文件，并设置其权限为750；禁止 Web 用户直接访问runtime/和vendor/目录（Nginx 配置location ~ ^/(runtime|vendor)/ { return 403; }）
三、运行时与 PHP 层加固（堵住漏洞利用链）
针对 ThinkPHP 5.1 最常被利用的几类漏洞，做针对性封堵：
立即学习“PHP免费学习笔记（深入）”；
-
反序列化漏洞：在
php.ini中设置unserialize_callback_func = "waf_unserialize_fail"，并在全局函数中定义该函数返回false或抛出异常，使任意未注册类的反序列化立即失败 -
RCE 漏洞防护：检查所有控制器中是否使用了
input()或$_REQUEST直接传入call_user_func_array、assert、eval、system等函数；一律替换为白名单校验或拒绝执行 -
SQL 注入兜底：禁用所有
raw()、exp()（TP5 中已废弃）等绕过绑定的接口；动态字段/排序参数必须走白名单：in_array($sort, ['id', 'create_time', 'status']) ?: 'id' -
模板 XSS 防御：彻底移除
'default_filter' => 'htmlspecialchars'这类全局配置；HTML 文本输出显式用{:htmlspecialchars($x, ENT_QUOTES)}，JS/JSON 输出必须用{:json_encode($data)|raw}
四、日志与监控联动（让 WAF 可见、可管、可响应）
没有日志的 WAF 就像没装摄像头的门锁。
- Nginx 日志中增加
$lua_waf_status（来自 Lua 规则标记）和$request_body（仅记录前 256 字节，防日志爆炸） - 编写脚本定期扫描
access.log，提取高频触发 WAF 规则的 IP，自动加入 Nginx 的deny列表或防火墙黑名单 - 对所有 403/500 错误请求，记录完整 URI、IP、User-Agent、Referer，便于溯源分析攻击手法
