القائمة
Laravel 框架特效安全审计工具。针对 Laravel 常见鉴权/CSRF/Session/模型填充/Blade 渲染等框架特性进行白盒静态审计，并将风险映射到你现有通用漏洞类型体系（AUTH/CSRF/LOGIC/XSS/CFG 等）。
التثبيت باستخدام Codex أو Claude انسخ هذا Prompt والصقه في Codex أو Claude أو مساعد آخر ليراجع صفحة Skill ويثبّتها لك.
استنادا إلى تصنيف SOC المهني
| name | php-laravel-audit |
| description | Laravel 框架特效安全审计工具。针对 Laravel 常见鉴权/CSRF/Session/模型填充/Blade 渲染等框架特性进行白盒静态审计，并将风险映射到你现有通用漏洞类型体系（AUTH/CSRF/LOGIC/XSS/CFG 等）。 |
分析 Laravel 项目源码中的“框架特效安全机制”和“常见踩坑模式”，重点覆盖：
$request->all() 链）{!! !!}、@php 以及未转义输出）用户提供：
source_path：Laravel 项目源码根目录
可选：output_path：输出目录路径（默认 {source_path}_audit）输出到：
{output_path}/framework_audit/
laravel_{timestamp}.md
必须给出你识别该项目为 Laravel 的证据点（不允许空口断言）：
composer.json 依赖app/、routes/、config/public/index.php、bootstrap/app.php每条发现都必须写明：
AUTH / CSRF / LOGIC / XSS / CFG / SESS / FILE 等（从你的 shared/SEVERITY_RATING.md 可用类型码中选）必须定位并输出以下证据：
routes/web.php 与 routes/api.php 中的 middleware('auth') / middleware('can') / Route::middleware([{value}])->group({value})Gate:: / Policy / authorize / can / ->can({value}) 的位置证据输出要求：
必须定位：
VerifyCsrfToken 或等价中间件输出要求：
必须定位：
session_regenerate_id 或 Laravel 对应机制证据HttpOnly/Secure/SameSite 的配置位置（config/session.php 或自定义中间件）必须定位并输出数据流链证据：
$request->all()、$request->input({value})、json_decode({value})Model::create({value}) / Model::update({value}) / $model->fill({value}) / ->save()$fillable / $guarded 的配置位置判定规则：
$request->all() 或等价输入直接进入 create/fill/update，且模型缺少针对敏感字段的 denylist（或 $fillable 过宽），则输出风险必须定位并输出：
{!! {value} !!}、@php 以及任何“跳过转义”的指令或回调$request、request()、数据库字段回填但未转义时的证据判定规则：
e() 或等价 escape，则输出风险映射到 XSS 或相关模板注入风险（若你项目用到模板表达式执行则映射到 TPL）必须定位：
URL::temporarySignedRoute / URL::signedRoutemiddleware('signed') 或等价校验机制判定规则：
AUTH 或 CFG至少给出以下两类其一并写清观察点：
PoC 输出要求：
routes/*.php 真实可命中位置抽取）csrf 字段、或表单 action）PHP Web 归档解压（Zip Slip/路径穿越）审计工具。识别解压条目名如何与目标目录拼接、是否存在 base dir 约束缺失，输出可利用性分级、可观测 PoC 与修复建议（禁止省略）。
PHP Web 全链路白盒代码安全审计流水线（多文件版编排）。作为总编排参考，按 Sink 类型调用各子审计 skill（`php-route-mapper/php-auth-audit/php-route-tracer/php-*-audit`），并复用统一输出与分级标准。
PHP Web 源码鉴权机制审计工具。从源码中识别所有认证/鉴权实现并分析风险，输出路由-鉴权映射与漏洞分析（含 PoC 与修复建议）。
PHP Web 源码命令注入审计工具。识别命令执行 Sink（exec/system/shell_exec 等），追踪用户输入进入命令拼接，输出可利用性分级、PoC 与修复建议（禁止省略）。
CodeIgniter 框架特效安全审计工具。针对 CodeIgniter 的 CSRF、XSS 输出过滤、数据库查询构造、路由与验证器配置、会话 Cookie 安全等机制进行白盒静态审计，并映射到通用漏洞类型体系（CSRF/AUTH/XSS/SQL/CFG/SESS 等）。
PHP Web 配置安全审计工具。识别 CORS/错误暴露/调试开关/安全头/危险运行时开关等，输出分级、可利用性分析、PoC 与修复建议（禁止省略）。