ThinkPHP 6.0.0–6.0.13存在文件包含、反序列化RCE、任意文件写入和敏感信息泄露等高危漏洞，修复需四层动作：强制升级至6.0.14+、关闭或校验lang参数、封禁unserialize入口并禁用危险协议、加固session与文件写入行为。
ThinkPHP 6.0 系列（特别是 6.0.0–6.0.13）存在多个高危漏洞，包括文件包含、反序列化 RCE、任意文件写入和敏感信息泄露等。修复不能只靠“升级一次”，必须结合版本升级、配置清理、代码加固和运行时防护四层动作。下面按实际攻击面梳理可落地的完整步骤。
确认当前真实版本并强制升级到 6.0.14+
很多项目误以为已升级，实则 composer.lock 锁定旧版或 vendor 中仍是 6.0.12。先验证：
- 执行 php think version 或查看 vendor/topthink/framework/composer.json 中的 version 字段
- 若低于 6.0.14，立即运行：composer require topthink/framework:^6.0.14 --update-with-dependencies
- 升级后清空 runtime/cache/ 和 opcache，避免旧缓存干扰
关闭多语言功能或严格校验 lang 参数
lang 参数路径遍历是 6.0.13 及以下最常被利用的入口，即使升级到 6.0.14，若配置残留仍可能触发风险：
- 检查 app/middleware.php 是否注册了 \think\middleware\LoadLangPack::class；如无需多语言，直接注释或删除该行
- 在 config/lang.php 中设 'switch' => false
- 若必须保留语言切换，在加载逻辑中插入双重校验：
$lang = basename($request->param('lang', 'zh-cn'));
$base = realpath(config('lang.path', app()->getAppPath() . 'lang'));
$file = realpath($base . DIRECTORY_SEPARATOR . $lang . '.php');
if (!$file || strpos($file, $base) !== 0) throw new HttpException(400);
阻断所有 unserialize 入口并禁用危险协议
CVE-2022-38352 等反序列化漏洞本质是用户输入进入 unserialize()。不能依赖“没用到就安全”，要主动封死：
立即学习“PHP免费学习笔记（深入）”；
- 全项目搜索：unserialize(、->unserialize(、Str::unserialize，定位并替换为 json_decode($data, true)
- 若必须保留反序列化（极少数兼容场景），强制启用白名单：
unserialize($input, ['allowed_classes' => ['App\Model\Config']])；禁止将 think\Model、think\Request 等框架类加入白名单 - 在 php.ini 中设置：phar.readonly = On、allow_url_include = Off、register_argc_argv = Off
- Nginx 配置中拦截恶意协议：if ($request_uri ~* "phar://|data://|filter://") { return 403; }
加固 session 与文件写入行为
6.0.0–6.0.1 的任意文件写入漏洞源于 session_id 未校验，攻击者可写 shell 到 public/ 目录：
- 检查 app/middleware.php 是否启用 \think\middleware\SessionInit::class；如非必需，建议关闭
- 在 session 初始化前增加 ID 校验逻辑（例如在全局中间件中）：
$id = $request->cookie('PHPSESSID') ?: $request->param('PHPSESSID');
if (!is_string($id) || strlen($id) !== 32 || !ctype_alnum($id)) {
throw new HttpException(400, 'Invalid session id');
} - 确保 session.save_path 指向非 Web 可访问目录（如 /tmp/thinkphp_session），并在 Nginx/Apache 中禁止 public/ 下的 .php 文件被执行（通过 location ~ \.php$ + deny）
