PHP 7.4静态扫描核心是规则匹配高危函数与用户输入组合，Seay最适配——原生支持PHP 7.4、轻量直观、可调规则；需 clean 环境、排除 vendor、分目录扫描；调规则重降噪，重点监控 eval/system/include/unserialize+$_GET/$_POST；结果须人工验证拼接、执行、混淆三类线索。
PHP 7.4 网站源码静态漏洞扫描，核心是用规则匹配危险模式，不运行代码、不依赖数据流，重点抓函数调用、参数来源和拼接逻辑。它适合快速摸排陌生项目，尤其在 AWD 或应急响应中抢时间。
选对工具：轻量+适配 PHP 7.4
Seay 源代码审计系统是 Windows 下最贴合需求的选择——它原生支持 PHP 7.4（需注意启动时选对运行环境），界面直观、规则可调、结果可导出。它不是全自动“判漏洞”，而是把 eval、system、include、file_get_contents、preg_replace('/e'）、unserialize 这类高危函数 + 用户输入变量（$_GET、$_POST、$_REQUEST、$_COOKIE）的组合集中标出来。RIPS 也能用，但部署稍重；PHPStan/PSALM 更偏类型与规范，对传统 Web 漏洞覆盖弱。
扫前准备：环境干净、范围明确
把待检源码完整解压到本地目录，确保不含 .git/.svn 等元数据干扰扫描。确认 PHP 7.4 运行环境已就位（Seay 内部会调用 php.exe 解析语法结构）。避免扫描 vendor、node_modules 等第三方依赖目录，除非你怀疑其中被植入后门。如项目有多个入口（如 api/、admin/、public/），建议分目录扫描，便于定位问题归属。
调规则库：降噪比扫全更重要
默认规则常报大量误报，比如框架里合法的 eval 模板渲染、CMS 中正常的 file_get_contents 加载配置。应手动打开 Seay 的 rules 目录，针对性调整：
立即学习“PHP免费学习笔记（深入）”；
- 关闭或放宽对 htmlentities、htmlspecialchars 周边的 XSS 规则，除非发现未过滤直接 echo
- 把 base64_decode、gzinflate、str_rot13 加入“可疑混淆”规则，它们常出现在加密 Webshell 中
- 为 unserialize() 单独建一条规则，匹配其参数是否来自 $_GET 或 $_POST，PHP 7.4 中该函数反序列化链风险仍高
- 添加白名单路径，如 /vendor/laravel/framework/src/，跳过主流框架核心文件
看结果要验证：红标≠漏洞，但必须人工过一遍
Seay 输出的每条结果都带行号、上下文代码片段和匹配规则名。重点关注三类典型线索：
-
拼接型调用：如
include($_GET['page'].'.php')—— 文件包含高危 -
执行型调用：如
system($_POST['cmd'])—— 命令执行直连 -
混淆型载荷：如
eval(base64_decode($_REQUEST['a']))—— 后门特征明显
对每条结果，打开对应文件，检查变量是否经过过滤（如是否用了 intval、isset、in_array 白名单校验）、是否在可控作用域内、是否开启全局 GPC 转义。不验证就修复，容易误删功能代码。
