Seay是日常代码级漏洞初筛最省心的选择；它不依赖JDK/Python/Docker，解压双击即用，支持PHP/ASP/Java，内置规则精准匹配危险函数，结果可点击跳转源码行，XML规则易自定义，离线安全，对ThinkPHP项目有预置识别逻辑。
直接说结论：日常代码级漏洞初筛，Seay 是当前最省心的选择；需要深度规则定制或集成进CI/CD，RIPS 更合适；而 thinkphp_gui_tools 和 tpscan 不是代码审计工具，别拿它们当源码扫描器用。
Seay 为什么适合快速上手PHP代码审计
它不依赖JDK、Python或Docker，解压后双击 Seay.exe 就能扫PHP/ASP/Java项目，对ThinkPHP项目尤其友好——内置规则直接匹配 eval($_POST[...])、mysql_query($_GET[...])、file_get_contents($_REQUEST[...]) 这类典型危险调用。
- 扫描结果带行号跳转，点一下就定位到源码位置，不用手动grep
-
Rules/php.xml是纯文本XML，改几行就能加自定义规则（比如加一条匹配input('get.')<\/code> 的正则）</li> <li>不联网、不传代码、不写注册表，适合在客户现场离线审计</li> <li>对 ThinkPHP 3.x/5.x 常见控制器写法（如 <code>index.php?s=xxx路由参数直入）有预置识别逻辑
RIPS 适合什么场景下的深度审计
RIPS 是基于PHP写的静态分析引擎，能做数据流跟踪和污点传播分析，比如识别出变量从 $_GET 进来、经函数过滤后又进了 system()，这种链式路径 Seay 做不到。
- 必须部署在Web服务器下（如
http://localhost/rips/），通过浏览器访问 - 扫描耗时明显更长，但报告里会标出“污染源→过滤函数→危险sink”的完整路径
- 支持自定义sink函数（比如你项目里封装了
exec_cmd($cmd)，可把它加进配置） - 对 ThinkPHP 5.x 的Facade调用（如
Cache::get()）识别较弱，需手动补规则
别把漏洞检测工具当成代码审计工具用
像 thinkphp_gui_tools 和 tpscan 都是运行时检测工具：它们发HTTP请求，看响应里有没有 phpinfo() 或报错信息，判断目标是否“正在运行”某个漏洞版本。它们完全不读你的 application/ 目录下的PHP文件。
立即学习“PHP免费学习笔记（深入）”；
- 你用
thinkphp_gui_tools扫出CVE-2018-20062，只说明线上环境可能被利用，不代表你源码里写了危险代码 -
tpscan的POC全是构造特定URL路径（如/index.php?s=/think\app/invokefunction），跟代码结构无关 - 想确认自己写的
app/controller/User.php是否存在未过滤的参数拼接？这两个工具根本看不到这个文件
真正卡住人的地方往往不是工具选错，而是混淆了“运行态漏洞验证”和“源码层缺陷挖掘”这两件事——前者看服务有没有被黑，后者看代码有没有写错。审计ThinkPHP项目时，先用 Seay 过一遍 controller 和 model 目录，再拿 tpscan 对上线地址跑一次运行验证，才是闭环。
