关键在于区分扫描对象：扫源码用PHPStan等静态工具聚焦app/等自定义目录；扫环境需核查php-fpm等实际SAPI版本及CVE；扫网站应选RIPS等支持PHP8.0的黑盒工具限速测试；扫依赖须用composer audit识别高危包并集成CI。
对 PHP 8.0 站点做自动化漏洞扫描，关键不是“换工具”，而是分清扫描对象——是扫代码、扫运行环境，还是扫对外服务的 Web 行为。三者目标不同、工具不同、配置也不同，混在一起只会漏掉重点或产生大量误报。
扫源码：用静态分析工具盯住你的调用逻辑
PHP 8.0 本身没有漏洞，漏洞多来自你如何使用框架或扩展。静态工具（如 PHPStan、Psalm）默认跳过 vendor/，这反而是对的——你要审的是自己写的控制器、模型、中间件，不是 ThinkPHP 源码。
- 把
app/、config/、route/、app/middleware/明确加入扫描路径，这些地方藏配置疏漏和危险调用 - 安装框架专用扩展，比如
thinkphp/phpstan-thinkphp，它不分析框架代码，但能理解$this->request->param()返回什么类型，从而追踪用户输入是否直通Db::query() - 在高危方法上加
@audit unsafe注解，后续可自动提取生成人工复核清单，让工具和人协作起来
扫环境：查 PHP 版本与扩展是否带已知 CVE
你跑的是 PHP 8.0.26，但它是否包含 CVE-2026-109619？官方已停止对 8.0 的更新，但提供了回移补丁。不能只看 php -v，要查所有 SAPI：
PHP 8.5.12
下载
修复 Core bailout 状态损坏安全问题，以及 BZ2、DOM、PDO、Opcache/JIT 内存与执行错误，改进 Unicode 字素处理、URL 解析、TLS 流状态、信号分发及会话错误处理。
- 运行
php-fpm -v、apache2ctl -M | grep php、ps aux | grep -E 'php-fpm|php-cgi'，确认实际提供服务的是哪个版本 - 用
versionscan --php-version 8.0.26对比 NVD 和 PHP 官方通告，输出受影响 CVE 列表 - 用
php-malware-finder加载rules/php_version_cves.yar，检测二进制中是否存在特定漏洞的内存行为特征（如 ZipArchive 越界）
扫网站：用黑盒工具模拟真实攻击路径
这是发现“能打进来”的漏洞最直接的方式，比如上传目录执行、日志文件包含、未授权访问接口等。注意别扫崩自己：
立即学习“PHP免费学习笔记（深入）”；
- 选支持 PHP 8.0 新语法的工具，如 RIPS 或 Acunetix；避免用只适配 PHP 5.x 的老版 AppScan，否则会把
match表达式当语法错误报 - 设置扫描速率限制（如每秒不超过 3 请求），避开业务高峰时段，防止触发 WAF 限流或压垮 FPM 进程池
- 重点测试上传功能、搜索框、URL 参数（
?file=、?id=）、Cookie 值，这些是文件包含、SQLi、反序列化的高频入口
扫依赖：揪出 composer.lock 里沉睡的漏洞包
很多 RCE 来自第三方库，比如 monolog 1.25.0 的反序列化链，跟你写的代码无关，但只要你 composer require 了，风险就在。
- 运行
composer audit --format=json | jq '.advisories[] | select(.severity == "critical")'，筛选高危项 - 对无法立即升级的包，用
composer audit --ignore=monolog/monolog暂时屏蔽，并记录原因和临时缓解措施（如关闭相关功能） - 把
composer audit集成进 CI 流程，每次 PR 合并前自动检查，阻断带已知漏洞的代码上线
