ThinkPHP 8.1.4 审计须以实际小版本为准，路由解析提前、验证器默认 must、Config::lazy() 参数变更、控制器后缀强制要求等关键改动，直接导致旧审计路径失效，必须重梳入口链路并验证真实攻击面。
ThinkPHP 8.1.0 的代码审计不能照搬 TP5.x 或 6.x 的老套路——路由解析提前到容器初始化阶段、验证器默认启用 must 属性、Config::lazy() 参数签名已变，这些改动会让旧审计路径直接失效。必须从入口链路重梳，否则连真实攻击面都摸不到。
查清当前项目实际小版本号再动手
手册里写的“v8.1.0”只是主干标识，composer.json 中 "topthink/framework": "^8.1.0" 可能实际拉取的是 8.1.4；而 8.1.4 引入了 route.controller_suffix 强制要求（控制器类名必须带 Controller 后缀），若忽略这点，所有基于 app/controller/Index.php 的 RCE 链路测试都会 404。执行 php think version 看输出，若为 ThinkPHP v8.1.4，立刻去读 vendor/topthink/thinkphp/docs/upgrade-8.1.4.md，别信在线文档。
绕过自动加载盲区，直击路由调度前的参数污染点
TP8.1 把路由解析提前到了 Container 初始化之后、App 实例启动之前，这意味着：在 app/route.php 中定义的路由规则，其实已被 vendor/topthink/thinkphp/src/Route.php 的 dispatch() 方法预处理过。常见错误是只盯 route.php，却漏掉 Route 类中 when() 变量验证的绕过点——比如当路由变量规则设为 'id' => '\d+'，但未加 strict 选项时，?id=123abc 仍会通过匹配，后续进控制器后若直接拼 SQL 就崩了。
- 检查
config/route.php中是否启用'force' => true，开启后所有 URL 必须命中路由定义，否则直接 404，这会掩盖大量未注册但可访问的控制器方法 - 搜索
when(和pattern(调用，确认变量规则是否留白或过于宽松 - 重点看
app/controller/下非标准命名的类（如Index.php里没写class IndexController），8.1.4 后这类文件会被容器跳过自动绑定，但若被手动new或反射调用，就成隐藏入口
验证器 must 属性导致的隐式强制校验陷阱
TP8.1 验证器新增 must 属性，只要在验证类里声明了字段，不管有没有写 require 规则，默认就强制存在且非空。这看似安全，实则埋雷：当业务逻辑依赖 input('id') 返回 null 做分支判断时，验证器会提前抛出异常，导致绕过原本的空值处理逻辑。更危险的是，若验证器被用于非表单场景（如 API 参数校验），而开发者误以为“没写 require 就不校验”，结果字段被静默过滤，后端直接拿不到原始输入。
立即学习“PHP免费学习笔记（深入）”；
- 全局搜
validate(和Validate::make(，定位所有验证调用点 - 打开对应验证类，检查
rule数组中字段是否声明但无require，再看是否设置了must = true（默认即 true） - 在验证类中临时注释掉
must声明，用curl -X POST 'http://test.com/api?name='测试空值是否还能进控制器，确认实际行为
别信 Request::only()，它不防类型篡改
Request::only(['id']) 看似只取 id 字段，但若前端传 id[]=1&id[]=2，它会原样返回数组；若传 id=true，它不会转成 int，而是留着字符串 "true"。TP8.1 的 Request::only() 加了 $type 参数支持强制转换，但默认不启用。很多老代码还在用裸 only() 接收 ID，后面直接塞进 Db::table()->where('id', $id)，PDO 虽然防注入，但类型错乱可能触发意外逻辑（比如 where('status', '1') 匹配到 status=1 和 status='active'）。
- 搜
->only(和::only(，重点看参数是否含'id'、'uid'等关键数字型字段 - 检查调用后是否紧跟着
intval()或filter_var($id, FILTER_VALIDATE_INT)，没有就危险 - 测试用
id[0]=1&id[1]=2和id=true发包，看接口响应是否异常或返回非预期数据
最易被忽略的是 Config::lazy() 在 8.1.4 中的参数变更：旧版接受闭包，新版强制要求返回数组，若审计时看到配置项里有 lazy(function () { return new Foo(); }) 这类写法，说明项目混用了旧逻辑，该配置项实际未生效，可能让本该关闭的调试模式或日志开关处于开启状态。
