如何为PHP项目编写安全报告？

本文目录导读：

1. 中危漏洞详情
2. 安全配置建议
3. 附录

为PHP项目编写安全报告需要系统性地分析潜在风险、漏洞及合规性问题，以下是一份结构化指南，涵盖报告核心内容、常见漏洞分类及编写建议。

---

报告核心要素

部分	内容要点	示例说明
执行摘要	项目概述、风险等级、关键发现（高/中/低危漏洞数量）	“本项目发现了2个高危SQL注入漏洞、1个中等风险XSS漏洞。”
范围与方法	测试版本、测试工具、测试类型（黑盒/白盒/灰盒）	“基于PHP 8.2，使用SonarQube、Semgrep及手动渗透测试。”
漏洞清单	按严重性排序的漏洞列表、漏洞描述、复现步骤、影响	“漏洞ID-01：登录接口未过滤特殊字符，可导致伪造请求。”
修复建议	针对每个漏洞的具体修复方案	“使用参数化查询（PDO预处理语句）替代字符串拼接。”
安全评估	整体安全评分（如CVSS 3.1计算）、风险矩阵	“7.8分（高危），需在3周内修复。”
附录	测试日志、工具输出、参考文档	“附录A：Semgrep规则匹配结果。”

---

PHP项目常见漏洞分类与检测方法

注入攻击

• SQL注入：未使用参数化查询。
  • 检测：SELECT * FROM users WHERE id = $_GET['id'] → 应改为 $stmt = $pdo->prepare('SELECT * FROM users WHERE id = :id');
• 命令注入：exec()、system() 调用未过滤用户输入。
  • 修复：使用 escapeshellarg() 或白名单校验。

跨站脚本（XSS）

• 反射型XSS：直接输出用户输入 <script>。
  • 修复：htmlspecialchars($input, ENT_QUOTES, 'UTF-8')。
• 存储型XSS：数据库未过滤直接显示。

文件包含漏洞

• 示例：include($_GET['page']);
  • 修复：限制包含路径，如 $allowedPages = ['home','about']; in_array($page, $allowedPages) ? include $page : include '404.php';

安全配置不当

• • 错误信息暴露：display_errors = On 在生产环境应改为 Off。
• 弱密码哈希：使用 password_hash() 代替 md5()。

会话管理漏洞

• Session固定：登录后未重新生成 session_regenerate_id()。
• Cookie安全：未设置 HttpOnly、Secure、SameSite 属性。

---

报告编写步骤

自动化扫描（工具推荐）

• 静态分析：
  • PHPStan（0-10级）：检测类型错误、未定义变量。
  • Psalm：更高阶的静态类型检测。
  • Semgrep：自定义规则检测SQL注入、XSS。
• 依赖检查：Composer Audit、Snyk 扫描第三方库漏洞。

手动渗透测试

• 输入点测试：所有表单、URL参数、文件上传、API端点。
• 逻辑漏洞：越权访问（如未检查 $_SESSION['role']）、重放攻击（CSRF Token未验证）。
• 文件上传漏洞：检查MIME类型认证、文件名重写、大小限制。

严重性评级（CVSS 3.1）

• 示例计算：
  • 攻击向量：网络（AV:N）→ 高。
  • 攻击复杂度：低（AC:L）→ 中等。
  • 影响：完全数据泄露（C:H / I:H / A:H）→ 严重。

---

报告模板示例

# PHP项目安全评估报告
**项目名称**：XX电商平台（v3.2.1）  
**评估日期**：2025-03-15  
**评估团队**：Security Team Alpha  
## 1. 执行摘要
本次评估发现3个高危漏洞、6个中危漏洞、2个低危漏洞。  
**主要风险**：支付接口存在SQL注入（CVSS 9.8），可能导致全量用户数据泄露。  
**建议**：立即修补高危漏洞，并启动代码审计流程。  
## 2. 高危漏洞详情
### 漏洞ID-001：支付接口SQL注入
- **位置**：`/api/payment/process.php` Line 45  
- **风险等级**：CVSS 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）  
- **描述**：用户输入 `order_id` 后直接拼入SQL查询。  
  ```php
  $sql = "SELECT * FROM orders WHERE id = " . $_POST['order_id'];

• 复现步骤：
  1. POST请求：POST /api/payment/process.php
  2. 参数：order_id=1 UNION SELECT 1,2,3,4,5--
• 修复建议：使用PDO参数绑定

  $stmt = $pdo->prepare('SELECT * FROM orders WHERE id = :id');
  $stmt->execute([':id' => $_POST['order_id']]);

中危漏洞详情

漏洞ID-002：会话Cookie缺少HttpOnly

• 风险：攻击者可通过XSS脚本窃取Session ID。
• 修复：session_set_cookie_params(['httponly' => true, 'secure' => true]);

安全配置建议

• PHP配置：php.ini 中设置 disable_functions = exec,system,passthru
• 框架：若使用Laravel，确保 APP_DEBUG=false，SESSION_SECURE_COOKIE=true

附录

• 工具输出：Semgrep结果（JSON文件，见附件）
• 修复验证：所有高危漏洞修复后需重新扫描并通过

---
### 五、高级技巧
1. **自定义规则**：针对业务逻辑漏洞（如“购物车价格篡改”），在Semgrep中编写规则检测未经校验的数值计算。
2. **供应链风险**：检查`composer.lock`中的依赖，标记已知CVE漏洞（如`symfony/process` >5.4.35）。
3. **合规性检查**：如项目涉及GDPR或PCI-DSS，需额外报告数据加密（如密码使用`password_hash()`，信用卡是否符合PCI DSS）。
4. **RASP模拟**：在报告中注明是否建议部署运行时应用自我保护工具（如Sqreen）作为补充防护。
---
### 六、常见误区
- ❌ **忽略低危漏洞**：例如未限制文件上传大小（可能导致DoS），应标注“低危”而非完全遗漏。
- ❌ **报告缺乏可操作性**：修复建议应具体到代码行号，而非泛泛而谈“加强验证”。
- ❌ **未验证第三方库**：项目自身安全，但依赖的第三方库存在已知漏洞（如GuzzleHttp <7.0.1存在SSRF漏洞）。
---
通过以上结构，你的PHP安全报告将同时具备技术深度与管理可读性，适合写给开发团队、安全团队及管理层。