这个php项目是否做了敏感性测试？

本文目录导读：

1. 输入验证（最常见）
2. 身份认证与授权
3. 配置与敏感信息泄露
4. 依赖与中间件
5. 业务逻辑漏洞
6. 如果项目没有做这些测试怎么办？

我可以给你一个自查清单，你可以根据这些方面来判断项目是否进行了充分的敏感性（安全）测试：

输入验证（最常见）

• SQL注入：测试所有与数据库交互的输入（搜索框、登录表单、ID参数等），尝试输入 ' OR 1=1 -- 或 1' AND SLEEP(5)-- 等语句,看是否报错泄露信息或延迟响应。
• XSS（跨站脚本）：在输入框、URL参数、评论区插入 <script>alert(1)</script>，查看是否在浏览器弹出弹窗（反射型、存储型、DOM型）。
• 命令注入：检查是否有调用系统命令（如 exec(), system()）的接口，尝试传入 ; ls 或 | whoami。
• 文件上传：尝试上传 .php、.phtml、.phar 等可执行文件，或上传包含恶意代码的图片（图片马）后尝试访问。

身份认证与授权

• 越权（IDOR）：用普通用户登录，尝试修改URL中的ID（如 user_id=1）去访问或操作其他用户的数据，或尝试访问管理员页面（如 /admin）。
• 会话安全：检查Session Cookie是否设置了 HttpOnly、Secure、SameSite 属性。
• 密码策略：测试弱密码（如 123456）是否被允许，以及登录接口是否有暴力破解防护（尝试连续错误登录看是否锁定或限速）。

配置与敏感信息泄露

• 错误信息：故意触发错误（如访问不存在的类、传错误类型参数），查看是否返回详细的堆栈跟踪、数据库错误详情、文件路径。
• 调试模式：检查生产环境是否开启了 display_errors = On 或框架的 debug=true。
• 硬编码密钥：在源码中搜索 password, secret, api_key 等关键词,看是否有硬编码的数据库密码或加密密钥。
• 目录遍历：尝试访问 ../../etc/passwd 或使用解码后的URL编码（..%2f）来读取系统文件。

依赖与中间件

• 已知漏洞：检查 composer.json 中的第三方包版本，比对是否有已知CVE（如老版本的PHP框架或插件）。
• SQL注入2.0：不仅是DB层，检查ORM（如Eloquent、Doctrine）是否使用了原生查询拼接。

业务逻辑漏洞

• 越权支付/订单：测试修改支付金额为负数或0.01是否能通过。
• 重放攻击：抓包查看API请求是否包含唯一的随机数（nonce）或时间戳校验。
• 文件下载：检查下载功能是否可以通过 ?file=../config.php 下载源码。

如果项目没有做这些测试怎么办？

如果发现没有覆盖以上各类测试，建议立即进行漏扫（如使用 OWASP ZAP、Burp Suite 的主动扫描）和代码审计（重点看SQL拼接、文件操作、反序列化点）。

特别提醒：即使做了这些黑盒测试，也不代表绝对安全，建议同时进行源代码静态分析（如使用 PHPStan、Psalm 或 SonarQube）。

如果你能提供项目的具体技术栈（如Laravel框架、原生PHP、TP框架等）或报错日志,我可以给出更精确的测试点。