PHP 8.4 无内置SQL注入检测工具，需结合静态扫描（PHPStan自定义规则）、运行时监控（禁用PDO模拟预处理+异常捕获）及人工核查5类高危节点（如拼接WHERE、ORDER BY、LIKE、动态表名、Firebird驱动输入）进行综合防护。
PHP 8.4 本身不内置 SQL 注入漏洞检测工具，不能靠“运行一个工具命令”就自动扫出所有注入点。所谓“漏洞修复工具”在 PHP 场景中，实际是指静态分析工具 + 手动代码审计 + 运行时防护组合，重点在于识别「未使用参数化查询」的危险模式。
下面分三类实用方式说明，聚焦真实可落地的操作：
静态扫描：用 PHPStan / Psalm + 自定义规则定位拼接 SQL 的代码
这类工具不直接标“SQL注入”，但能精准揪出字符串拼接数据库操作的高危写法：
- 安装 PHPStan（推荐 v1.12+，兼容 PHP 8.4）：
composer require --dev phpstan/phpstan
- 编写自定义规则（
phpstan.neon），匹配mysqli_query(、$pdo->query(、"SELECT.*".\$_GET等模式：parameters: customRules: - class: PhpStan\Rules\SqlConcatRule severity: error - 运行扫描：
vendor/bin/phpstan analyse src/ --level=7
✅ 能直接报出类似
String concatenation with $_GET['id'] in SQL query (line 42)的警告。PHP 8.5.12下载修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
立即学习“PHP免费学习笔记（深入）”；
运行时监控：启用 PDO 模拟预处理告警 + 错误日志过滤
PHP 8.4 默认仍开启 PDO::ATTR_EMULATE_PREPARES = true，这是宽字节注入温床。你可以在开发/测试环境强制关闭并记录违规调用：
- 连接后加两行防御性配置：
$pdo->setAttribute(PDO::ATTR_EMULATE_PREPARES, false); $pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
- 在全局异常处理器中捕获
PDOException，并检查$e->getMessage()是否含SQL syntax、You have an error in your SQL syntax—— 这类报错大概率源于未预处理的拼接语句。 - 日志中定期 grep：
grep -r "query(" ./src/ | grep -E '\$\_.*[GET|POST|REQUEST]'
人工核查清单：5个必须逐行确认的硬性节点
工具会漏，人必须盯住以下位置（每处都对应知识库中明确的 CVE 触发场景）：
- 所有
WHERE条件里出现.$_GET['xxx']或.$id的地方 → 必须改为:id占位符 +execute() -
ORDER BY或GROUP BY后跟用户输入（如?sort=name）→ 必须白名单校验：in_array($sort, ['name', 'created_at']) -
LIKE查询写成WHERE name LIKE '%'.$_GET['q'].'%'→ 必须改成 PHP 层拼通配符 + 命名占位符：$stmt->execute(['q' => "%{$q}%"]) - 表名、字段名出现在 SQL 字符串中（如
"SELECT * FROM {$_GET['table']}"）→ 直接禁止，改用硬编码或映射数组 - 使用 Firebird 驱动（
pdo_firebird）且接收含\0字节的输入 → PHP 8.4.21+ 已修复 CVE-2025-14179，但旧版本必须升级
不复杂但容易忽略。
