ThinkPHP代码审计环境不是装个XAMPP就能跑的，关键在版本匹配、调试链打通、以及入口路由是否被重写干扰——三者任一出错，断点就进不去，漏洞就复现不了。
直接说结论：ThinkPHP代码审计环境不是装个XAMPP就能跑的，关键在版本匹配、调试链打通、以及入口路由是否被重写干扰——三者任一出错，断点就进不去，漏洞就复现不了。
PHP版本和ThinkPHP版本必须严格对齐
ThinkPHP不同大版本对PHP有硬性要求，错一个就报错或跳过关键逻辑：
- ThinkPHP 3.2.x 要求 PHP ≥ 5.3（但不能用 PHP 5.3dev 或 PHP 6）
- ThinkPHP 5.0.x ~ 5.1.x 建议用 PHP 5.6 ~ 7.2；PHP 7.3+ 可能触发
count()参数类型警告，掩盖真实执行流 - ThinkPHP 5.2+ 和 6.x 必须 PHP ≥ 7.1，且
mbstring、openssl、curl扩展缺一不可 - 用 phpStudy 或 XAMPP 时，别只看“PHP版本号”，要
phpinfo()确认disable_functions里没禁掉system、exec、file_get_contents——很多POC依赖这些函数回显
必须启用Xdebug并配准IDE key与端口
没有Xdebug，你只能靠 var_dump() + 刷新页面猜流程；有Xdebug但配置错，断点会静默失效：
- 修改
php.ini，确保启用zend_extension指向正确的php_xdebug.dll（Windows）或php_xdebug.so（Linux/macOS） - 关键配置项必须显式设置：
xdebug.remote_enable=1、xdebug.remote_host=localhost、xdebug.remote_port=9000、xdebug.idekey=PHPSTORM - PHPStorm 中 Settings → PHP → Debug 的 port 必须和
xdebug.remote_port一致；Settings → PHP → Servers 的 Name 必须等于xdebug.idekey值（比如PHPSTORM） - 浏览器装 XDebug Helper 插件，并设为 Debug 模式——否则请求不带
XDEBUG_SESSION_START=PHPSTORMCookie，断点不会触发
public/index.php 是唯一可信入口，.htaccess 或 Nginx 配置可能绕过它
ThinkPHP 5+ 强制所有请求经 public/index.php，但本地环境常因重写规则缺失导致请求直击控制器文件，跳过框架初始化：
立即学习“PHP免费学习笔记（深入）”；
- Apache 下检查
public/.htaccess是否存在且生效（AllowOverride All开启）；内容应含RewriteRule ^(.*)$ index.php [L,E=PATH_INFO:$1] - Nginx 用户需手动补全重写规则，不能只靠 phpStudy 默认配置；典型规则：
location / { try_files $uri $uri/ /index.php?$query_string; } - 如果访问
http://localhost/tp5/public/显示空白或 404，先确认 URL 是不是误输成http://localhost/tp5/（少 public）；再检查public/index.php第一行是否为<?php，而非 BOM 头导致输出提前 - 用 curl 测试真实入口：
curl -I http://localhost/tp5/public/index.php?s=index，响应头中必须含X-Powered-By: ThinkPHP才算走通框架
Composer安装项目时别用 --prefer-dist 或跳过 vendor autoload
审计时你要跟踪框架源码和第三方包调用链，vendor 目录结构混乱或自动加载失效，think\App::run() 就根本不会被调用：
- 创建项目务必用：
composer create-project topthink/think=5.1.30 tp5130 --no-dev（指定精确小版本，避免自动升级破坏漏洞环境） - 不要加
--prefer-dist，它可能跳过某些带调试信息的源码包；也不要加--ignore-platform-reqs，否则 PHP 版本不兼容时 composer 会静默降级依赖 - 检查
vendor/autoload.php是否真实存在，且public/index.php中require __DIR__.'/../vendor/autoload.php';路径正确 - 如果 PhpStorm 提示 “Class 'think\App' not found”，说明自动加载失败——此时删掉
vendor和composer.lock，重新composer install
最易被忽略的是：ThinkPHP 的 App::run() 执行前会读取 runtime 目录下的缓存路由或配置，旧环境残留的 runtime/cache 可能让新断点完全不命中。每次换版本或改配置，顺手清空 runtime 目录比重启 Apache 更有效。
