PHP 8.4 本身不内置 AI 审计能力，但可通过 Codara（CLI 静态扫描）、OpenCode（运行时执行）、OpenSpec（规格前置）与 TaoToken（统一模型接入）四工具协同实现全链路审计，覆盖 PHP 8.4 新特性识别、深度合规检查、模型知识统一及人工确认闭环。
PHP 8.4 本身不内置 AI 审计能力，但可借助外部 AI 工具链实现高效、可落地的代码审计。关键不在“PHP 怎么配 AI”，而在“如何让 AI 工具精准理解 PHP 8.4 的新特性与风险上下文”。当前最务实的组合是：Codara（CLI 审计） + OpenCode（运行时执行） + OpenSpec（规格前置） + TaoToken（统一模型接入），四者协同覆盖从规范定义、静态扫描到动态诊断的全链路。
用 Codara 快速启动 PHP 8.4 专项审查
Codara 是轻量、可集成的 CLI 工具，对 PHP 8.4 新语法（如属性钩子、只读类、array_find()）有原生识别支持。安装后需做两件事：
- 确保项目已启用 PHP 8.4 运行时（
php -v输出含8.4.x），Codara 依赖本地 PHP 解析器进行 AST 分析； - 运行审查命令时显式指定目标分支或暂存区，例如：
codara review --target main --language php；
若要聚焦新特性误用（如非对称可见性导致的访问越界），可加标签过滤：codara review --unstaged --tag php84-visibility； - 错误诊断可直连上下文：
php index.php 2>&1 | codara diagnose，它会解析报错堆栈并关联 PHP 8.4 文档给出修复建议（比如OOM 内存损坏相关警告会链接 CVE-2026-109618 缓解指南）。
用 OpenSpec + OpenCode 做深度合规审计
单纯扫描不够——PHP 8.4 的安全风险（如 CVE-2026-109619 的释放后使用）常源于业务逻辑与底层机制的耦合。这时需用 OpenSpec 先写明审计范围：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 在
specs/php84-security.md中明确列出必须检查的项：内存管理路径、unserialize()调用点、dba扩展迁移状态、IMAP 解耦后残留引用等； - 将该文件作为输入交给 OhMyOpenCode，自动拆解为多个 Agent 子任务：一个查
gc_collect_cycles()周边逻辑，一个扫描所有__destruct方法中是否含未防护的资源释放； - 每个子任务由 OpenCode 在真实 PHP 8.4 环境中执行（调用
php -l、phpstan、自定义分析脚本），结果带环境指纹（PHP 版本、SAPI 类型、扩展列表）存入审计日志。
模型接入必须收敛到 TaoToken
AI 审计效果高度依赖模型对 PHP 8.4 最新文档和漏洞细节的理解。若各工具用不同 endpoint 或 Key：
立即学习“PHP免费学习笔记（深入）”；
- Codara 可能基于旧版 PHP 文档推理，漏掉
DOM API新方法的误用模式； - OpenCode 调用的模型若未见过 CVE-2026-109618 的 PoC 样例，无法识别相似内存操作链；
- 统一通过 TaoToken 配置：一个 Base URL（指向已微调 PHP 安全专用模型）、一个 Key、一个 Model ID（如
php84-audit-2026q4），所有工具共享同一知识源； - 验证方式简单：运行
curl -H "Authorization: Bearer $TAOTOKEN_KEY" $TAOTOKEN_URL/v1/models，确认返回模型支持php84-securitycapability 标签。
别跳过人工确认环节
AI 可发现模式，但不能替代权限判断。对高危结论（如“此处存在释放后使用风险”），系统必须触发 human-in-the-loop：
- Codara 输出带
[CONFIRM]标记的建议时，自动暂停 CI 流程，推送企业微信/钉钉待办； - OpenCode 执行变更前，若检测到涉及
memory_limit、opcache或error_handler修改，强制弹出审批弹窗； - 所有确认操作留痕：谁、何时、基于哪条 AI 建议、是否附带复现步骤，全部写入 Git 注释与审计数据库。
