做php安全巡检，要同时覆盖项目依赖、php解释器、扩展、基础镜像和实际运行的进程。把定时审计和发布环节的检查打通，给异常结果明确对应的处理责任人，比只定期扫一遍版本号稳妥得多。
先梳理全量资产清单，不然定时巡检很容易漏扫局部范围
按项目记录代码仓库、锁文件、部署方式、实际PHP分支、扩展和维护人。网页服务、队列、计划任务可能使用不同解释器；容器部署还要记录运行镜像摘要，不能只看构建机或开发电脑上的版本。
清单应能对应到实际站点与服务实例。新增测试站、临时任务节点或恢复备份时，也要加入巡检范围，否则主站已经更新，遗留实例仍可能把旧漏洞重新带回生产环境。
依赖漏洞和运行时漏洞，对应的检测数据源不一样
Composer审计依据依赖元数据和公开安全公告排查已知问题，而PHP2Shell属于解释器层面的运行时缺陷。项目没命中依赖公告，也不代表PHP二进制、系统库、扩展或基础镜像已经完成修补。
立即学习“PHP免费学习笔记（深入）”；
输出巡检结果时，必须同步标注检测数据库的覆盖范围和最后更新时间。
锁文件记录的是计划安装的精确依赖版本，实际部署目录里的文件才是线上真正跑的内容。巡检不能只查锁文件，还要核对构建产物和线上运行的文件，避免出现开发者更新了依赖声明，生产环境还在跑旧版本文件的情况。
依赖审计和平台侧相关检查的结果要分开输出
从可信的代码版本库拉取锁文件，提前确认审计工具的来源和版本，不要在疑似已经被入侵的主机上临时跑来源不明的安装脚本。
针对锁文件执行依赖审计，同时保存机器可解析的报告和命令的退出状态。碰到连不上公告源、配置错误这类异常情况，必须走复核流程，不能直接判定为零漏洞。
另外单独核查平台依赖、PHP官方支持周期和供应商发布的补丁公告，记录下线上实际安装的包版本号。补丁打完之后，要验证所有工作进程和副本都已更新，不能只确认安装包下载成功就完事。
# 在受控项目副本中执行；先确认本机Composer支持这些选项 composer --version composer --no-plugins --no-scripts audit --locked --format=json # 平台要求检查与安全公告审计不是同一个检查 composer check-platform-reqs # 仅供了解可更新情况，不能当作安全判定 composer outdated --direct
生产依赖与开发依赖可以按部署策略分别评估，但不要为了让报告变绿就随意跳过传递依赖。私有包和未公开漏洞未必有可用公告，出现空报告时还需确认查询范围和数据源确实工作正常。
巡检频率和版本升级操作要分开规划
| 场景 | 巡检安排示例 | 变更方式 |
|---|---|---|
| 单机小项目 | 每日依赖审计、每周资产复核 | 维护窗口人工核验升级 |
| 团队持续发布 | 每次依赖变更与发布检查，定时复查 | 测试、灰度和逐副本验收 |
表格是可调整的运维建议，不是官方统一强制周期。新出现高危公告时应立即专项排查，不必等到例行日期；自动发现问题也不等于自动升级所有生产依赖，兼容性验证和变更窗口仍需单独安排。
版本支持期限应随资产维护。PHP上游支持与发行版或商业供应商维护是不同范围；有回补包时要核对完整包号和支持合同，不用单一小版本比较替代全部判断。
先运行轻量脚本生成可追溯的依赖库存
下面的脚本会读取可信锁文件，生成依赖库存和对应指纹，默认调用内置演示数据。它不会连接外部漏洞公告数据库，也不会扫描真实项目漏洞，生成的结果会明确标注未执行审计的状态，避免库存报告被误当作正式安全报告。
<?php
// 默认用内置锁文件样本；在真实CLI可传入可信的本地composer.lock路径。
$file=$argv[1] ?? null;
$text=$file ? file_get_contents($file)
: '{"packages":[{"name":"demo/package","version":"1.0.0"}],"packages-dev":[]}';
if ($text===false) { throw new RuntimeException('Cannot read lock file.'); }
$lock=json_decode($text,true,512,JSON_THROW_ON_ERROR);
if (!is_array($lock['packages'] ?? null)) { throw new RuntimeException('Invalid packages list.'); }
$packages=[];
foreach (array_merge($lock['packages'],$lock['packages-dev'] ?? []) as $package) {
$packages[]=['name'=>$package['name'] ?? '(unknown)','version'=>$package['version'] ?? '(unknown)'];
}
echo json_encode(['source'=>$file ? 'local lock file':'embedded teaching sample',
'php'=>PHP_VERSION,'sapi'=>PHP_SAPI,'package_count'=>count($packages),
'lock_sha256'=>hash('sha256',$text),'advisory_check'=>'NOT PERFORMED',
'inventory'=>$packages],JSON_PRETTY_PRINT | JSON_UNESCAPED_SLASHES),PHP_EOL;
保存为audit.php。第一条命令运行教学数据；第二条应在目标项目副本里读取实际锁文件。此处在macOS的PHP 8.5.10 WebAssembly环境验证了默认示例，未运行生产Composer任务。
php audit.php # 目标项目中使用，需存在可信的锁文件 php audit.php composer.lock
巡检任务的失败状态要能及时被发现
给巡检任务配置明确的运行目录、解释器路径、日志存储位置和失败触发的通知规则。输出结果必须带上执行时间、数据来源、对应代码版本和对接处理人，避免定时任务表面上显示运行正常，实际因为权限不足、网络不通的问题，长时间没产出过有效报告。
- 排查发现报告为空：先核对任务的退出状态、公告源连通性和查询范围。
- 开发机检测正常、生产环境仍报异常：对比锁文件指纹、部署产物和线上实际运行的解释器版本。
- 查到有过期分支没人处理：明确指定维护人、迁移计划和补丁复核的截止时间。
- 只更新了单份副本：补充检查队列服务、备用节点、定时任务和遗留旧镜像。
每条高风险结果都要留处置记录，标注清楚是已修复、待验证、临时隔离还是经评估后接受风险，同时留存对应的判断依据。不能直接永久忽略某条安全公告就当修复完成，也不要因为一次巡检结果正常就停掉后续的检查。
