ThinkPHP老项目无法整体升级时，核心思路是“堵入口、锁路径、控输入”，重点加固语言包加载、路由参数解析、模板渲染、日志输出四类薄弱环节，通过手动校验、禁用危险配置和收紧输入边界，在不换框架前提下大幅降低被攻破风险。
老项目无法整体升级 ThinkPHP，核心思路不是“换框架”，而是“堵入口、锁路径、控输入”。重点不在版本号，而在攻击链上最薄弱的那几个环节——比如语言包加载、路由参数解析、模板渲染、日志输出。只要把这几处关键路径卡死，即使还在用 TP3.2 或 TP5.0.x，也能大幅降低被攻破概率。
先确认哪些漏洞真正在影响你
不是所有老版本漏洞都自动生效，得看你的配置和用法：
- 如果 没启用多语言中间件（即 config/lang.php 中
'switch' => false，且 app/middleware.php 里没注册LoadLangPack），那么 lang 参数文件包含漏洞就不存在 - 如果 APP_DEBUG = false 且 Runtime/Logs/ 目录已禁止 Web 访问，RCE 和信息泄露风险会直接砍掉 70% 以上
- 搜索代码中是否用了
thinkpp/invokefunction类路由、eval或assert动态执行逻辑——这些才是攻击者最爱打的点
手动加固三处高频入口
不改框架源码，只在项目层加校验：
-
lang 参数防护：在语言包加载前插入真实路径校验。获取
$_GET['lang']后，用realpath()解析目标文件，再比对是否落在app/lang/目录内。不匹配就直接 400，不往下走 -
路由参数过滤：在 index.php 开头拦截
$_GET['s']、$_GET['c']、$_GET['a']，用正则只放行字母、下划线、短横线，拒绝/、.、::、invoke、call_user_func等关键词 -
模板路径约束：禁用
fetch()中的相对路径或变量拼接，强制模板名来自白名单数组，例如['index', 'user/profile', 'admin/dashboard']，其他一概报错
关掉危险配置和扩展
很多 RCE 漏洞其实依赖服务器环境配合，单独关掉就能断链：
立即学习“PHP免费学习笔记（深入）”；
- 在 php.ini 中设
register_argc_argv = Off，防止通过命令行参数触发 pearcmd.php - 禁用高危函数：
disable_functions = exec,passthru,shell_exec,system,proc_open,popen,pcntl_exec - 删除或 chmod 000
/usr/local/lib/php/pearcmd.php（若存在） - Nginx 配置中禁止访问
/Runtime/、/public/install.php、/vendor/等敏感路径
数据库与日志最小化干预
不动模型逻辑，只收紧边界：
- 全局搜索
where(array('exp',，替换成显式类型转换，如(int)$_GET['id']或htmlspecialchars($_GET['name']) - 在基类模型中重写
_parseWhereItem（TP3.2）或parseWhere（TP5），对 value 值做is_string+!preg_match('/['";\\]/'双重判断 - 清空 Runtime/Logs/ 内容，设置该目录权限为
750，属主为运行 PHP 的用户（如 www-data），Web 服务器进程不可读
