扫描结果须人工交叉验证，因PHP 8.0新语法（联合类型、属性提升）及移除函数（create_function等）易致工具误报漏报，需确认执行路径、参数可控性、框架拦截及真实环境复测。

扫描结果不能直接采信，必须人工交叉验证。工具会误报、漏报，尤其在PHP 8.0环境下，部分规则基于旧版本行为设计，与新语法（如联合类型、属性提升）或已移除函数（create_function、mysql_*）不匹配，导致判断失准。

看告警是否落在真实执行路径上

很多高危提示（如“发现unserialize()调用”）出现在vendor包、测试文件或已废弃的兼容层里。需确认三点：

• 该函数调用是否被实际请求触发——检查调用栈是否从入口文件（如index.php或控制器方法）可达
• 参数来源是否可控——若unserialize($_POST['data'])存在，且$_POST未经过校验或白名单过滤，才构成风险
• 是否已被框架封装拦截——例如Laravel的SerializesModels trait 或 Symfony 的反序列化配置已禁用危险类

查底层函数是否真能执行

PHP 8.0 移除了多个历史执行原语，但扫描器可能未同步更新规则库：

PHP 8.5.12

修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。

下载

• assert($user_input)：PHP 8.0 起不再支持字符串执行，此类告警可直接排除（除非项目降级运行）
• preg_replace('/.*/e', ...)：该修饰符早在 PHP 7.0 就被移除，若扫描器仍报此问题，说明规则未适配
• system(...)类函数：告警有效，但要确认是否真的拼接了用户输入；若用了escapeshellarg()包裹单个参数，且命令结构固定（如"ls -l " . escapeshellarg($path)），则风险可控

用最小复现环境实测关键路径

对中高危项，不依赖日志或静态推断，直接构造请求验证：

立即学习“PHP免费学习笔记（深入）”；

• 新建一个临时测试脚本（如/test-rce.php），仅包含告警行及其上下文，关闭所有缓存和OPcache
• 传入典型payload（如?id=1;id或cmd=id），观察是否真能执行系统命令或读取敏感文件
• 开启log_errors = On和error_log，捕获实际报错而非仅看HTTP状态码

对照CVE公告与PHP官方变更日志

工具报出的“CVE-2021-XXXX”类漏洞，需手动核验：

• 访问PHP 8.x 官方变更日志，确认该CVE是否已在你所用的小版本中修复（如8.0.30已修复，而你用的是8.0.28）
• 查NVD或CVE Details页面，看漏洞触发条件是否匹配你的部署场景（例如是否依赖特定扩展启用、是否需配合allow_url_include=On）
• 注意PHP 8.5.12 RC1刚发布的两个RCE漏洞（PHP2Shell），若你尚未升级至8.5.12正式版，即使扫描器没报，也需紧急处置