ThinkPHP 5.x路由RCE漏洞本质是路由解析失控：5.0.x/5.1.x因s参数未过滤反斜杠，可触发think\app::invokefunction执行system等任意命令；_method参数可绕过method校验注入__construct并污染filter数组，结合call_user_func_array实现RCE。
ThinkPHP路由漏洞不是“有没有”的问题，而是“在哪触发、怎么绕过、是否已修复”的实操判断题。5.0.x 和 5.1.x 的经典 RCE 漏洞（如 CVE-2018-20062、CVE-2019-10910）本质就是路由解析失控导致的，不审计路由机制，等于没碰到底层风险点。
think\Request::param() 如何把 s= 参数变成 eval() 入口
ThinkPHP 5.0.x 默认开启普通路由（非强制路由），param() 方法在解析 s= 参数时，会尝试将字符串按斜杠分割，映射为模块/控制器/操作，并最终调用 think\App::invokeFunction()。如果 s= 值形如 index/\think\app/invokefunction，框架就会加载 think\App 类并反射调用 invokefunction 方法——而这个方法本身接受 function 和 vars 参数，直接传给 call_user_func_array()。
这意味着攻击者能构造：
GET /index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=system&vars[1][]=id
只要没升级到 5.0.24+，这条请求就能执行 system('id')。
立即学习“PHP免费学习笔记（深入）”；
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
-
s=是路由入口，不是普通 GET 参数，它绕过了大多数中间件和过滤逻辑 - 5.1.x 同理，但路径变为
s=aaa/bbb/ccc→ 解析为aaa模块、bbb控制器、ccc方法；若控制器名含反斜杠，就可能触发类自动加载 + 反射调用 - 禁用普通路由（设置
'url_route_must' => true）可缓解，但不能根除，因为部分插件或自定义路由仍可能回退到松散解析
_method 参数如何绕过 method() 的校验触发 __construct 注入
ThinkPHP 的 Request::method() 方法本意是统一获取当前 HTTP 方法，但它支持通过 _method 参数伪造方法名。问题出在早期版本中，该方法未限制参数来源，且在处理 _method=__construct 时，会把后续同名参数（如 filter[]）赋值给 Request 实例属性——包括 filter 这个可被用户控制的回调数组。
当框架后续调用 input() 或 param() 并启用过滤时，就会遍历 filter 数组，把值传给 call_user_func() 执行。
- 典型利用链：
_method=__construct&filter[]=assert&server[REQUEST_METHOD]=phpinfo() - 该漏洞影响 5.0.x < 5.0.23 和 5.1.x < 5.1.31，修复方式是限制
_method只允许GET/POST/PUT/DELETE等标准方法，禁止下划线开头的任意字符串 - 注意：即使关闭了
method伪造，filter属性仍可能被其他方式污染（如反序列化、缓存污染），不能只盯一个入口
如何快速确认项目是否暴露在路由 RCE 风险下
别依赖版本号截图，直接验证行为更可靠。重点检查三件事：
- 访问
/index.php?s=test，看是否返回 404 或 “模块不存在” 错误；若返回空页或异常报错（如 class not found），说明普通路由开启且解析逻辑活跃 - 发送 POST 请求：
_method=__construct&filter[]=phpinfo&method=get，观察响应里是否出现 phpinfo 表格；出现即确认可利用 - 检查
config/app.php中'url_route_must'是否为true，以及'default_module'是否设为非空字符串；两者都为true可大幅降低风险，但不等于免疫 - 搜索代码中是否有手动调用
call_user_func_array()、eval()或反射类方法（ReflectionMethod::invoke()）且参数来自input()/param()的情况——这是自定义路由或插件中最容易复现漏洞的位置
真正难审计的不是框架原生路由，而是开发者自己写的 Route::any() 或闭包路由，它们往往跳过核心过滤流程，又直接拼接变量进 eval 或 file_get_contents。这类代码不会出现在 CVE 列表里，但线上真实被攻破的案例，八成出在这儿。
