必须升级PHP至8.5.7（nts版），因其是唯一兼容ThinkPHP 8.0、仍获官方安全支持且扩展稳定的版本；同时需同步替换mysql_*函数、修正字符串语法、禁用危险函数、清理runtime与vendor并关闭调试。
ThinkPHP项目PHP版本过低，不是只改框架就能防住内核漏洞的——根本风险在PHP底层。低版本PHP（如5.6、7.0、7.1）本身存在大量已知安全缺陷，比如unserialize()反序列化绕过、phar协议利用、preg_replace /e修饰符RCE、类型混淆导致的SQL注入等。这些漏洞不依赖ThinkPHP代码，只要服务器运行着老旧PHP，攻击者就可能通过任意入口（如上传文件、日志解析、第三方组件）触发。
必须先升级PHP到受支持版本
ThinkPHP 8.0 要求 PHP ≥ 8.0.0，但仅满足最低要求远远不够。2026年实际应锁定为 PHP 8.5.7（nts版），理由很具体：
- PHP 8.0–8.4 已于2025年起陆续结束官方安全支持，不再修复新发现的CVE
- PHP 8.5.7 是当前唯一同时满足：ThinkPHP 8.0全功能兼容 + 官方仍提供紧急补丁 + 所有必需扩展（如
fileinfo、mbstring）稳定启用的版本 - CLI 和 Web SAPI（如php-fpm）必须完全一致，否则会出现“命令行能跑、网页500”这类静默故障
验证PHP真实状态的三步动作
- 在项目根目录运行
php -v，确认输出为PHP 8.5.7（不是8.5.0、8.5.6或带-dev后缀） - 在
public/下建check.php，内容为<?php phpinfo(); ?>，用浏览器访问，核对顶部版本号、Loaded Configuration File路径、以及Configuration File (php.ini) Path是否与CLI下php --ini输出一致 - 执行
php -m | grep -E 'mbstring|openssl|pdo|curl|fileinfo|zip'，缺任一模块都必须启用（宝塔/PHPStudy需手动勾选，不能只改配置文件）
升级PHP后必须同步处理的ThinkPHP适配项
低PHP版本常掩盖框架层问题，一旦升到8.5.7，以下旧写法会直接报错或静默失效：
- 删除所有
mysql_*函数调用（PHP 8.0+已彻底移除），统一改为\think\Db::query()或模型查询 - 替换
$str{0}语法为$str[0]，否则字符串偏移报Fatal error - 检查所有
eval()、create_function()、assert()调用，这些在PHP 8.5+中默认禁用或行为变更，必须重构为静态逻辑或白名单函数调用 - 模型中禁用闭包式验证规则（如
'name' => function($value){...}'），改用独立验证器类或validate()方法，否则启动即抛出Deprecated警告并中断
清除历史隐患的硬性操作
光升级PHP和框架还不够，残留配置和缓存会维持旧执行路径：
- 彻底删除
runtime/目录（不是清空子目录，是删整个文件夹） - 删除
vendor/和composer.lock，再执行composer install --no-dev - 运行
composer dump-autoload -o强制重建自动加载映射 - 修改
config/app.php，确保'app_debug' => false、'app_trace' => false、'log' => ['level' => ['error']]，关闭所有调试出口
本质上，PHP版本升级是安全基线重置，不是可选项。低于8.5.7的PHP运行ThinkPHP项目，等于在未加固的城墙上修新塔——塔再高，地基一塌全完。
