PHPStan 主要不是漏洞扫描器，而是静态类型分析工具，它不直接检测SQL注入、XSS等传统安全漏洞，但能发现导致漏洞的底层缺陷，如未校验用户输入直传高危函数、类型不匹配引发逻辑绕过、空值误当对象使用等；需配合--php-version、自定义规则及人工标注，聚焦src/app/config等自有代码路径，结合phpcompatibility等工具形成安全闭环。
PHPStan 主要不是漏洞扫描器，而是静态类型分析工具，它不直接检测 SQL 注入、XSS 或反序列化等传统“安全漏洞”，但它能发现大量导致漏洞的底层编码缺陷——比如未校验的用户输入直传高危函数、类型不匹配引发的逻辑绕过、未定义方法调用暴露内部结构等。真正用好 PHPStan 做安全加固，关键在于理解它“查什么”和“怎么查得准”。
明确 PHPStan 的安全价值点
它不找 payload 是否能打穿 WAF，但能揪出：
- 危险函数被不可信变量调用：如 include($_GET['file']) 会因变量无类型约束、无白名单而被标记为“未定义属性访问”或“动态调用风险”（需配合自定义规则）
- 空值/字符串误当对象使用：如 $user->getName() 中 $user 来自 json_decode() 且未判空，PHPStan level 8+ 可报 “Call on possibly null”
- 函数参数类型与实际传入严重不符：如数据库查询方法声明 function findById(int $id)，却传入 $_GET['id']（string），这虽不直接报“SQLi”，但暴露了未过滤输入的路径
- 废弃语法或函数的残留使用：如 create_function()、mysql_* 在 level 9 + --php-version=8.1 下直接报 ERROR，避免升级后崩溃
基础安装与目标版本对齐
不指定 PHP 版本，PHPStan 默认按当前运行环境分析，容易漏掉兼容性风险：
- 安装：composer require --dev phpstan/phpstan
- 扫描 PHP 8.1 兼容性：vendor/bin/phpstan analyse src/ --level=9 --php-version=8.1
- 扫描 PHP 7.4 项目（防降级风险）：vendor/bin/phpstan analyse app/ --level=7 --php-version=7.4
- 若项目已启用 declare(strict_types=1)，务必开启，否则类型检查形同虚设
配置文件精准聚焦自有代码
默认会跳过 vendor/，这是对的；但你要确保只扫你写的部分：
- 在项目根目录建 phpstan.neon：parameters:<br> level: 9<br> paths:<br> - src/<br> - app/<br> - config/<br> excludePaths:<br> - vendor/**<br> - tests/**
- 避免扫描 tests/ 或 migrations/ 等非运行时代码，减少干扰
- 不要让 PHPStan 解析框架核心（如 Laravel 的 vendor/laravel/framework），它自带 stub 已覆盖
补足 PHPStan 的“安全盲区”
单靠 PHPStan 无法覆盖典型 Web 漏洞，必须搭配其他工具形成闭环：
- 配 phpcompatibility：用 PHPCS + PHPCompatibility 标准专扫废弃函数、不安全配置，命令：phpcs --standard=PHPCompatibility --runtime-set testVersion 8.1 app/
- 加 phpstan-extension-installer：自动加载 PDO、mbstring 等扩展的类型 stub，让 PDO::query() 参数类型可推断，从而识别“字符串拼接进 query”这类风险
- 人工标注高危点：在代码里对 eval()、unserialize()、include() 调用前加 // @phpstan-ignore-next-line 并写明原因，或用 @audit unsafe 注解生成复核清单
- 运行时兜底：在测试环境开启 error_reporting = E_ALL，捕获 Deprecated: strlen(): Passing null to strlen() 这类 PHP 8.1+ 明确报错的隐患
