PHP 8.3 是被扫描目标而非工具，需选用兼容它的静态分析工具（如PHPStan v1.10+、Psalm v5.20+、PHP Insights v2.6+），通过离线拉取源码本地扫描，避开生产环境，并重点检测只读类滥用、联合类型空值处理及session.upload_progress等PHP 8.3特有风险。
确认源码扫描工具对 PHP 8.3 的兼容性
多数主流工具已支持 PHP 8.3，但需验证具体版本：
-
PHPStan：v1.10+ 原生支持 PHP 8.3 联合类型、只读类等语法，运行
phpstan analyse --level max可检测类型误用、未定义变量、危险调用等逻辑层风险。 -
Psalm：v5.20+ 完整解析 PHP 8.3 新特性，启用
--security-level=2可聚焦高危模式（如eval()、unserialize()、裸输出）。 -
PHP Insights：v2.6+ 支持 PHP 8.3，其
ForbiddenSecurityIssues规则可识别硬编码凭证、危险函数调用、不安全反序列化等，执行phpinsights --min-quality=90 --min-complexity=90 --min-architecture=90获取安全评分。 - 避免使用已停止维护的工具（如老旧版 PHP Malware Finder），它们可能跳过 PHP 8.3 特有语法导致漏报。
线上站点源码扫描的实操要点
线上环境严禁直接运行耗资源或写文件的扫描命令。推荐“离线拉取 + 本地扫描”方式：
- 从线上服务器导出当前运行的源码（排除
vendor/、logs/、cache/等非代码目录），用rsync -avz --exclude='vendor' --exclude='storage' user@prod:/var/www/html/ ./site-src/同步到扫描机。 - 在本地环境安装与线上一致的 PHP 8.3 运行时（如通过
phpbrew install 8.3或 Docker：docker run --rm -v $(pwd):/project -w /project php:8.3-cli phpstan analyse src/）。 - 禁用扫描工具的自动修复功能（如 PHP Insights 的
--fix），仅生成报告；所有修改必须经人工复核后才上线。 - 若必须在线扫描，限定在低峰期，用
nice -n 19 ionice -c 3降低优先级，并设置内存限制：php -d memory_limit=256M vendor/bin/phpstan analyse --configuration=phpstan.neon。
重点盯防 PHP 8.3 环境下的新型风险点
PHP 8.3 引入的新特性可能带来新隐患，扫描时需专项关注：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
-
只读类（readonly class）滥用：检查是否在只读类中意外调用可变方法（如
$user->setName()），这类错误在 8.3 中会抛出致命错误，但旧扫描规则可能忽略。 -
联合类型与空值处理：搜索
string|int|null类型声明后是否遗漏is_null()或??判断，防止strlen(null)类崩溃。 -
session.upload_progress 相关漏洞（CVE-2026-109618/109619）：该漏洞影响 PHP 5.4–8.5.11，默认开启，且绕过
disable_functions。扫描不能仅靠代码分析——需结合配置检查：grep -r "session.upload_progress" /etc/php/8.3/，确认session.upload_progress.enabled = Off已生效。
扫描结果处置闭环
工具报告只是起点，关键在快速定位、验证、修复：
立即学习“PHP免费学习笔记（深入）”；
- 将 PHPStan/PHP Insights 报告中的高危项（如
Call to function eval() with dynamic argument）导出为 CSV，按文件路径和行号排序，分配给对应模块负责人。 - 对疑似漏洞（如反序列化入口）做最小化复现：新建测试脚本模拟请求参数，确认是否真能触发异常行为，避免误报引发过度修复。
- 修复后，在预发环境用相同工具全量扫描比对，确保问题消失且无新增警告；再灰度发布。
