Claude修PHP漏洞不能替代人工安全验证，需通过提示阶段明确业务约束、执行阶段手动确认修改、验证阶段闭环测试三步防新bug。
Claude修PHP漏洞本身不自带“安全免疫”，它能快速定位常见注入、XSS、反序列化等模式，但修复过程是否引入新bug，关键取决于你如何用、怎么验、修到哪一层。不是模型靠不靠谱，而是整个修复链路有没有卡点控制。
明确边界：Claude修的是代码逻辑，不是业务语义
它能看出$_GET['id']直接拼SQL是危险的，建议加intval()或PDO预处理——这没问题；但它不知道这个id在业务里是否允许为0、是否要兼容负数、下游服务是否依赖原始字符串格式。一旦你照单全收没验证，就可能把一个SQL注入，换成一个功能异常或数据错乱。
三步防新bug：提示、执行、验证缺一不可
提示阶段：锁住业务约束再交任务
别只说“修复这个SQL注入”，要带上下文：当前接口接收id参数，必须为正整数，前端已做非空校验；数据库字段类型是INT UNSIGNED；返回结果用于渲染用户头像URL，不能为空字符串或null。请只修改查询部分，保留原有返回结构和错误处理流程。
这样Claude不会擅自改成filter_var($id, FILTER_SANITIZE_NUMBER_INT)——那个可能留空格，破坏URL拼接。-
执行阶段：禁用自动执行，坚持手动确认
Claude Code默认支持!php artisan migrate这类命令直跑，但漏洞修复绝不能跳过人工确认。务必：- 关闭
--dangerously-skip-permissions（别 alias 成cc就图快）； - 所有文件修改前，让它输出完整 diff；
- 对涉及数据库操作、缓存清除、第三方调用的行，单独标出并暂停；
- 用
/plugin security-check类插件做基础扫描（如检测硬编码密钥、eval()残留），不替代人工。
- 关闭
-
验证阶段：最小闭环测试必须自己跑
它修完，你至少要做三件事：- 用原漏洞POC（比如
?id=1%27%20UNION%20SELECT%20...）复测，确认漏洞消失； - 跑一遍该接口的正常用例（如
?id=123、?id=0、?id=），看返回是否仍符合契约； - 检查日志是否有新增警告（比如PDO抛出
Invalid parameter number，说明占位符没对齐）。
- 用原漏洞POC（比如
特别注意两个高危盲区
-
类型隐式转换陷阱：PHP弱类型下，
'123abc' == 123为真。Claude可能用==代替===做ID比对，表面修复了注入，实则开了逻辑绕过； -
错误抑制符滥用：看到
@mysql_query()就删掉@，却没补异常捕获，导致失败静默，后续流程崩得更晚。
本质上，Claude是把“找漏洞+写补丁”的时间从几小时压到几分钟，但“判断补丁是否真安全”的责任，始终在你手上。
立即学习“PHP免费学习笔记（深入）”；
