PHP 8.2 本身无文件包含漏洞，所谓扫描实为检查运行其上的Web应用代码是否存有不安全动态包含逻辑，关键在于业务代码中include/require是否直接拼接未校验的用户输入（如$_GET['file']）。
PHP 8.2 本身没有文件包含漏洞，所谓“扫描 PHP 8.2 的文件包含漏洞”，实际是扫描**运行在 PHP 8.2 环境下的 Web 应用代码**是否存在不安全的动态包含逻辑。关键不是版本，而是业务代码里有没有 include、require 这类函数直接拼接了用户输入（如 $_GET['file']）且未做校验。
一、先确认是否真有可测的包含点
手动验证比盲目扫更高效：
- 访问类似
?page=about、?lang=zh、?template=home的参数，观察页面变化或报错 - 把参数值改成
../../../../etc/passwd，看是否返回系统文件内容或路径错误信息 - 尝试
?file=php://filter/read=convert.base64-encode/resource=index.php，若返回 base64 编码的源码，说明存在 LFI 且可读源码 - 注意：PHP 8.2+ 已移除
%00截断支持，别再浪费时间试file=1.php%00
二、用轻量级脚本本地扫描代码
不需要装复杂工具，一段 PHP 脚本就能快速揪出高危写法：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 搜索所有
.php文件中是否出现include(.*\$_(GET|POST|REQUEST|COOKIE))或require_once\((?!['"]\w+\.php['"])类模式 - 重点检查是否用了
file_exists()但没做白名单、是否拼接了后缀（如$file.'.php'）却没过滤../ - 示例片段：if (isset($_GET['file'])) include $_GET['file']; —— 这种就是典型靶子
三、用专业工具辅助检测
推荐几个实用、不过时的选项：
立即学习“PHP免费学习笔记（深入）”；
- PHP Malware Finder：命令行工具，专注识别危险函数调用和可疑包含模式，对 PHP 8.2 兼容良好
- RIPS（静态分析版）：能可视化展示包含路径、变量污染链，适合中大型项目
-
在线扫描慎用：公开的 SaaS 扫描器可能误报
allow_url_include=On配置，或把正常路由逻辑当成漏洞；仅限测试环境使用
四、别漏掉配置项检查
有些“漏洞”其实卡在 PHP 配置上，扫代码前先确认：
-
allow_url_include是否为Off（默认是 Off，RFI 基本不可用） -
open_basedir是否启用并限制了目录范围（会直接阻断路径穿越） -
display_errors是否关闭（关了不代表没漏洞，只是不回显报错） - 查看
phpinfo()页面或php -i | grep "allow_url"快速确认
