PHP 8.3.36 是安全补丁版本，不改变语法，审计关键在于工具是否兼容 PHP 8.3 新特性（如 #[\Override]、联合类型等）；Seay 可扫传统危险函数但无法识别新语法污点路径，Fortify 需插件 ≥23.2.0 才支持完整语法树分析。
PHP 8.3.36 的代码审计不是版本适配问题，而是工具兼容性判断
PHP 8.3.36 是一个安全补丁版本（2026年10月22日发布），它本身不改变语法结构，只修复运行时漏洞。你不需要“为 PHP 8.3.36 专门选工具”，真正要确认的是：你用的审计工具是否能正确解析 PHP 8.3 的语法特征（比如联合类型、只读类、match 表达式扩展、#[\Override] 属性等）。Seay 这类基于正则的老工具对这些新语法基本无感知，它照样扫 eval、include、unserialize；但 Fortify SCA 或 Semgrep 如果规则没更新，可能漏掉某些新写法下的污点传播路径。
实操建议：
- 先用
php -l对目标项目做一次语法检查，确认没有因 PHP 8.3 严格化报错（如弃用mysql_*函数会直接 fatal，但 Seay 不执行代码，所以不影响扫描） - 打开 Seay 的“函数查询”面板，手动搜
eval、system、passthru、exec、shell_exec、assert、create_function—— 这些在 PHP 8.3 中仍存在且危险，Seay 内置规则能稳定捕获 - Fortify SCA 需确认其 PHP 插件版本 ≥ 23.2.0（官方 2026 年 9 月起支持完整 PHP 8.3 语法树），否则
match块内变量赋值可能被误判为不可达
Seay 扫出一堆 include 和 require，怎么快速区分真实风险？
Seay 默认把所有 include 类函数都标红，但它不分析参数是否可控。真正危险的是用户输入拼进路径的场景，比如 include $_GET['page'] . '.php';，而不是 include 'config.php'; 这种硬编码。
筛选方法：
立即学习“PHP免费学习笔记（深入）”；
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 在 Seay 结果列表中，右键 → “按文件名分组”，优先看第三方组件目录（如
/lib/、/plugins/、/vendor/），旧版 ThinkPHP 3.x 或 dedecms 的include调用常藏在这里 - 重点检查参数是否来自
$_GET、$_POST、$_REQUEST、$_COOKIE，尤其是带.php、.inc后缀拼接的行 —— Seay 不识别后缀过滤逻辑，需人工看上下文 - 跳过所有含
__DIR__、dirname(__FILE__)、realpath()的路径拼接，这类通常无法被外部控制（但要注意realpath($_GET['x'])本身仍是危险调用）
Fortify SCA 报了一堆 SQL injection，但实际是 PDO 预处理，怎么验证是不是误报？
Fortify 的数据流分析能力强，但也容易把“参数进 PDO::prepare → 占位符绑定 → execute”这种安全链路误判为污点未净化。它看到 $sql = "SELECT * FROM user WHERE id = ?"; $pdo->prepare($sql)->execute([$_GET['id']]);，仍可能告警，因为它没完全建模 PDO 占位符的语义隔离。
验证步骤：
- 打开 Fortify 报告中的具体告警项，点开“Data Flow Path”，看最后一步是否落到
PDOStatement::execute或mysqli_stmt::execute，且参数是数组或对象 —— 这大概率是误报 - 反查代码中是否存在
mysql_query、mysqli_query（未使用预处理）、pg_query直接拼接字符串的调用，这些才是真风险点 - 用 Seay 辅助交叉验证：在 Seay 中搜
mysql_query、mysqli_query(（注意括号）、pg_query(，如果 Seay 没扫出来而 Fortify 报了，那 Fortify 很可能把某处字符串拼接误当成了 SQL 入口
别忽略 PHP 8.3.36 自身修复的漏洞触发面
这次更新修复的两个 CVE（CVSS 9.2）是运行时级漏洞，不依赖业务代码，但攻击面可能被你扫出的旧代码放大。比如 Seay 扫出的某个 unserialize($_COOKIE['data'])，在 PHP 8.3.35 下可能仅导致拒绝服务，升级到 8.3.36 后虽缓解了部分利用链，但该调用本身仍是高危残留 —— 审计目标不能停在“已打补丁”，而要清掉所有 unserialize、eval、assert 的裸调用。
最容易被跳过的点：
-
assert在 PHP 8.3 中默认禁用字符串执行，但如果你代码里写了assert($cond, $msg)且$msg来自用户输入，仍可能触发信息泄露（Fortify 会报，Seay 不报） - 旧框架中常见的
extract($_GET)或$$key = $value动态变量赋值，Seay 不内置规则，需手动 grepextract(、\$\$、parse_str( - PHP 8.3.36 修复的漏洞影响
phar://流封装器解析，所以所有含phar://的include、file_get_contents调用必须人工复核，Seay 默认不标红这类协议头
