ThinkPHP任意文件读取漏洞修复需切断用户输入到文件路径的直通链路，核心措施包括禁用动态路径（如关闭多语言）、规范路径解析（realpath+白名单校验）、强制访问控制（鉴权+目录权限收紧）及系统级加固（禁调试、封runtime、清日志）。
ThinkPHP任意文件读取漏洞的核心是路径拼接失控，修复关键不是加一层过滤，而是切断“用户输入→文件路径”的直通链路。重点在三件事：禁用动态路径、规范路径解析、强制访问控制。
堵住多语言参数 lang= 的入口
这是最常见触发点，比如 /index/ajax/lang?lang=../../application/database。不能只过滤 .. 或 /，因为容易被双重编码（%2e%2e%2f）或大小写绕过。
- 关闭多语言功能：若项目不用多语言，在
application/config.php中将'lang_switch_on' => true改为false - 启用白名单映射：在
application/common/behavior/Common.php中设置允许语言列表，例如：\think\Lang::setAllowLangList(['zh-cn', 'en']); - 确保该行为在
app_init阶段生效，对应添加到application/tags.php的app_init数组中
约束未鉴权API接口的文件操作
像 ThinkAdmin v6 的 /admin.html?s=admin/api.Update/node 这类接口，参数 rules 直接控制文件路径，且无登录校验。
- 所有涉及文件读取、目录遍历的接口必须前置身份验证，未登录一律拒绝
- 对传入路径做严格白名单校验：先调用
realpath()或框架normalizePath()规范化路径，再判断是否落在允许根目录内（如APP_PATH . 'config/'） - 禁止使用
./、../、%、..%2f等任何形式的路径跳转符号
系统级加固与配置收口
很多泄露其实不靠漏洞利用，而是调试模式+日志裸奔+目录可列造成的“主动暴露”。
立即学习“PHP免费学习笔记（深入）”；
- 确认
APP_DEBUG => false全局生效，检查入口文件、模块配置、环境变量，避免被覆盖 - 封禁
runtime/目录 Web 访问：Nginx 加location ~ ^/runtime/.*\.(log|php)$ { deny all; }；Apache 用.htaccess禁止 - 清空已有日志，并设置
runtime/目录权限为750，仅应用进程可写
不复杂但容易忽略：修复后务必手动测试 ?lang=../../config/database.php 和 /runtime/log/202610/27.log 是否返回 403 或 404，而不是内容或错误提示。
