PHP 镜像漏洞扫描

本文目录导读：

1. 扫描对象
2. 主流扫描工具（推荐）
3. 实操指南（以 Trivy 为例）
4. 针对 PHP 镜像的常见高危漏洞及加固
5. 最佳实践总结（避坑指南）

PHP 镜像漏洞扫描，这是一个非常关键的安全实践，我从 扫描对象、常用工具、具体操作步骤 以及 加固建议 四个方面为你全面解答。

扫描对象

在 Docker 生态中，PHP 镜像通常分为以下几层,扫描时需要全面覆盖：

1. 基础镜像层：如 php:8.3-cli、php:8.3-fpm 或 php:8.3-apache，这一层包含操作系统（如 Debian/Alpine）和 PHP 核心。
2. 扩展层：通过 docker-php-ext-install 安装的扩展（如 pdo_mysql、redis）。
3. 应用层：你自己写的业务代码（Composer 依赖、框架文件）。

主流扫描工具（推荐）

实操指南（以 Trivy 为例）

步骤 1：安装 Trivy

# macOS
brew install aquasecurity/trivy/trivy
# Linux (Debian/Ubuntu)
sudo apt-get install wget apt-transport-https gnupg lsb-release
wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo apt-key add -
echo deb https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main | sudo tee -a /etc/apt/sources.list.d/trivy.list
sudo apt-get update && sudo apt-get install trivy

步骤 2：扫描本地镜像

# 扫描前请确保镜像已拉取到本地
docker pull php:8.3-fpm
# 扫描漏洞（包含操作系统和 Composer 依赖）
trivy image php:8.3-fpm
# 指定输出为 JSON 或 HTML 报告
trivy image --format json --output result.json php:8.3-fpm

步骤 3：扫描 Dockerfile 本身

# 扫描构建配置中的不安全指令（如未固定版本、使用了 root 用户）
trivy config ./Dockerfile

步骤 4：集成到 CI/CD (GitHub Actions 示例)

- name: Scan PHP image
  uses: aquasecurity/trivy-action@master
  with:
    image-ref: 'your-registry/php-app:latest'
    format: 'sarif'
    output: 'trivy-results.sarif'

针对 PHP 镜像的常见高危漏洞及加固

扫描出漏洞后，往往需要结合修复建议。针对 PHP 镜像，请优先关注以下 3 类问题：

1. 基础镜像版本过旧（CVE 大面积爆发）

   • 问题：使用了 php:7.4 或更老的镜像,其中包含大量已知漏洞。
   • 修复：升级到 php:8.3 或 php:8.2 的最新补丁版本（3.13），尽量避免使用 latest 标签，在 CI 中锁定具体版本号。

2. Composer 依赖漏洞（业务层风险）

   • 问题：composer.json 中的 Laravel/Symfony 框架或第三方包存在 RCE（远程代码执行）漏洞。
   • 修复：建议安装 composer audit 插件（基于 PHP 安全公告数据库）。

     composer audit
     composer update --prefer-lowest

3. 误用 root 用户运行

   • 问题：默认官方镜像以 root 运行，一旦容器被攻破，攻击者直接获得宿主机 root 权限。
   • 修复：在 Dockerfile 末尾增加非 root 用户切换命令。

     FROM php:8.3-fpm
     # 安装扩展和依赖后...

   RUN useradd -m -u 1000 phpuser && \ chown -R phpuser:phpuser /var/www/html USER phpuser

最佳实践总结（避坑指南）

1. 不要只看 “0 Critical”：Trivy 报 0 漏洞不代表安全，请配合 composer audit 检查业务代码逻辑。
2. Alpine 镜像并非万能：Alpine 镜像体积小，但 musl libc 与 PHP 扩展（如 pdo_mysql、swoole）存在兼容性风险，有时反而引入了 musl 特有的 CVE，建议优先选择 Debian (Bookworm) 版本。
3. 定期扫描：建议在每天构建时运行一次扫描,而不仅仅是发布前扫描。
4. 关注 “HIGH” 以上的漏洞：对于 MEDIUM 级别的漏洞，在安全组评审确认可利用性后，可以暂缓修复,但需记录未修复原因。

如果你正在使用 Kubernetes，建议将 Trivy Operator（原 Starboard）部署到集群中，它会自动扫描集群中运行的所有 PHP Pod 镜像，一旦发现漏洞，会以 VulnerabilityReport 自定义资源的形式呈现。

如果需要针对具体的漏洞编号（如 CVE-2024-XXXX）进行深入分析,欢迎提供扫描报告。