精准修PHP漏洞需锚定最小执行链：入口点、数据流、校验逻辑及环境约束；仅传三类代码片段（入口/核心逻辑/校验模块），明确声明【当前环境】，用反例压制无效建议，并按OWASP项定向修复，结尾强制结构化输出。
给Claude提供足够上下文修PHP漏洞，关键不是“多贴代码”，而是精准锚定风险发生所需的最小执行链：入口点、数据流向、权限/校验逻辑、依赖环境。泛泛粘贴整个控制器或配置文件，反而会稀释关键信号，导致它忽略真实漏洞路径。
只传三类必要代码片段
每次提交严格限定为以下三者之一或组合：
-
漏洞触发入口：如一个接收GET参数的路由函数（
public function edit(Request $request)），必须包含完整参数获取方式（$id = $request->query('id')或$_GET['id']）； -
核心处理逻辑块：含数据库查询、文件操作、命令执行等敏感行为的5–12行代码，例如：
$sql = "SELECT * FROM users WHERE id = " . $_GET['id']; mysqli_query($conn, $sql);； -
校验/过滤模块：实际生效的权限判断或输入过滤代码，比如自定义的
canEditUser($user_id)函数或中间件中的if (!$user->owns($target)) { abort(403); }。
必须声明运行环境硬约束
Claude不会自动推断PHP版本、框架、扩展或部署方式。缺了这些，它可能建议用filter_var(..., FILTER_VALIDATE_INT)——但你的项目还在用PHP 7.2，该常量并不存在；也可能假设Laravel的Request对象已自动过滤——而你实际用的是原生PHP+自建Router。
在代码后明确加一句：
立即学习“PHP免费学习笔记（深入）”；
【当前环境】PHP 8.1 + Laravel 10.46，所有请求经Kernel中间件栈，request()->user()始终可用且已认证；不使用任何全局$_GET/$_POST直接访问；数据库驱动为Eloquent ORM。用反例压制无效建议
避免它泛泛说“应加输入验证”“建议用预处理”。直接堵死这类空话：
- 禁止建议未声明的组件：如“引入Symfony Validator”或“改用PDO::prepare”，除非你在上下文中已写出对应use语句；
- 禁止脱离调用链的修复：不接受“在前端加disabled属性”这种绕过式方案；
- 强制绑定OWASP项：例如写明“请按OWASP Top 10 2021中A1:2021 – Broken Access Control检测”，它才会聚焦越权而非仅语法。
结构化输出倒逼精准响应
结尾加固定指令，让它无法自由发挥：
``` [风险类型] 水平越权 / SQL注入 / 路径遍历[位置] UserController.php:87-92
[问题] 未校验当前用户对$target_user是否具备编辑权限
[证据] 调用
User::find($id)后直接进入update流程，未比对$target_user->team_id === auth()->user()->team_id[修复] 替换第89行为：
$target_user = User::where('id', $id)->where('team_id', auth()->user()->team_id)->firstOrFail();``` 
