ThinkPHP 5.0.15 不存在官方定义的“路由别名绕过漏洞”，其真实高危问题是 SQL 注入（CVE-2018-14574）和未开启强制路由导致的 RCE，后者常被误读为“路由别名绕过”，实为框架默认允许动态解析 s 参数触发反射调用所致。
ThinkPHP 5.0.15 本身**不存在官方定义的“路由别名绕过漏洞”**。该版本广为人知且被验证的高危问题是 SQL 注入漏洞（CVE-2018-14574） 和 未开启强制路由导致的远程代码执行漏洞（RCE），而非路由别名机制被绕过利用。
为什么常被误称为“路由别名绕过”
部分分析将 RCE 漏洞（?s=index/\think\app/invokefunction）误解为“利用了路由别名”，实际是：
- ThinkPHP 5.0 默认关闭
url_route_must = true（强制路由），允许直接调用任意类方法 -
s=参数本质是模块/控制器/操作的路径映射，不是“别名”，而是框架未限制的动态路由解析入口 - 攻击者通过构造特殊
s值，触发反射调用\think\App::invokeFunction，进而执行任意 PHP 函数
真正需要处理的是未开启强制路由的 RCE 风险
若应用使用 ThinkPHP 5.0.15 且未启用强制路由，必须立即加固：
- 在
application/config.php中设置：'url_route_must' => true - 同时检查并禁用调试模式：
'app_debug' => false，避免错误信息泄露 - 确认
route.php中已明确定义所有合法路由，不依赖隐式自动解析
验证是否仍存在 RCE 入口
用 curl 快速探测（替换目标域名）：
立即学习“PHP免费学习笔记（深入）”；
Skill Weave Chains — 技能链路由引擎
下载
开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。
curl "http://example.com/index.php?s=index/\think\app/invokefunction&function=call_user_func_array&vars[0]=phpinfo&vars[1][]=1"
若返回 phpinfo 页面内容，说明未修复，需紧急配置或升级。
根本解决方式：升级框架
ThinkPHP 5.0.15 是已停止维护的旧版本（2018 年发布）。官方早已在 5.0.24+ 及 5.1.x 后续版本中：
- 默认启用强制路由
- 对
s参数做白名单校验 - 移除危险的反射调用入口逻辑
建议直接升级至 ThinkPHP 6.x 或至少 5.1.40+，并同步更新 PHP 至安全版本（如 8.3.36+）。
