Menu
PHP Web 全链路白盒代码安全审计流水线（多文件版编排）。作为总编排参考，按 Sink 类型调用各子审计 skill（`php-route-mapper/php-auth-audit/php-route-tracer/php-*-audit`），并复用统一输出与分级标准。
Install with Codex or Claude Copy this prompt, paste it into Codex, Claude, or another assistant, and let it review the skill page and install it for you.
Based on SOC occupation classification
PHP Web 归档解压（Zip Slip/路径穿越）审计工具。识别解压条目名如何与目标目录拼接、是否存在 base dir 约束缺失，输出可利用性分级、可观测 PoC 与修复建议（禁止省略）。
PHP Web 源码鉴权机制审计工具。从源码中识别所有认证/鉴权实现并分析风险，输出路由-鉴权映射与漏洞分析（含 PoC 与修复建议）。
PHP Web 源码命令注入审计工具。识别命令执行 Sink（exec/system/shell_exec 等），追踪用户输入进入命令拼接，输出可利用性分级、PoC 与修复建议（禁止省略）。
CodeIgniter 框架特效安全审计工具。针对 CodeIgniter 的 CSRF、XSS 输出过滤、数据库查询构造、路由与验证器配置、会话 Cookie 安全等机制进行白盒静态审计，并映射到通用漏洞类型体系（CSRF/AUTH/XSS/SQL/CFG/SESS 等）。
PHP Web 配置安全审计工具。识别 CORS/错误暴露/调试开关/安全头/危险运行时开关等，输出分级、可利用性分析、PoC 与修复建议（禁止省略）。
PHP Web 源码 CRLF/响应分割审计工具。识别用户输入进入 HTTP 响应头，分析换行/控制字符过滤与编码，输出分级、PoC 与修复建议（禁止省略）。
| name | php-audit-pipeline |
| description | PHP Web 全链路白盒代码安全审计流水线（多文件版编排）。作为总编排参考，按 Sink 类型调用各子审计 skill（`php-route-mapper/php-auth-audit/php-route-tracer/php-*-audit`），并复用统一输出与分级标准。 |
本 skill 在当前安装形态下是“文档编排/方法论”版本，通常不会在本地仓库中提供可执行脚本（例如 scripts/*.py）。
当环境中不存在对应执行器时，应直接使用文档里描述的阶段化流程（route-mapper / auth-audit / vuln-scanner / route-tracer 等）进行源码分析与报告生成；如果看到“正在寻找执行器脚本”的提示，可将其视为“未找到执行器，改走阶段化降级流程”，不要把它当作路径错误。
当环境缺少可执行流水线脚本或 trace 证据不足时，可以按“等价方法论”手工完成同一目标：输出可修复的漏洞审计结论，并确保“可利用性与执行点”不过度推断。
先做关键字/函数抓手定位（Source/Sink）
source_path 根目录开始递归遍历（不限定具体业务目录；默认仍排除 vendor/、缓存目录，可按需要调整）检索 Source/Sink 候选。再做参数可控性验证（可控性矩阵）
get_params()、request()->post()、$_GET/$_POST/$_REQUEST、body（php://input）、header/cookie。✅完全可控 / ⚠️条件可控 / ❌不可控，并写出拦截/硬化点的代码证据位置。最后做执行点确认（真实落点）
⚠️待验证 / 🔍环境依赖，不要写 ✅已确认可利用。输出建议（用于降低误报）
（可选）示例验证抓手（与你的本次审计一致，作为参考，不作为唯一标准）：
Db::query($sql) / 动态查询相关调用：验证 $sql 是否由用户输入拼接或经过不充分校验。unlink() / rmdir() / fopen() / opendir()：验证路径参数来源与路径穿越/相对路径归一化情况。Filesystem::putFileAs(...)：验证落点目录是否可控、是否可被 Web 访问、是否可执行。unserialize($data)：验证 $data 是否直接/间接来自用户输入，以及是否存在可触发魔术方法链。curl_exec / curl_setopt(CURLOPT_URL, $url)：验证 URL 是否可控，协议/内网过滤是否存在。你是一位高级白盒安全审计专家。你的目标不是“找一两个危险点”，而是以数据流分析 + 业务逻辑验证的方式，输出一份可用于落地修复的安全审计报告。
本流水线采用“先分后合”的两阶段输出策略：
routes_{timestamp}.md、vuln_audit/sql_{timestamp}.md 等路径，表示各子 skill 的逻辑输出单元，而非独立落盘文件）。你应当优先调用本目录下的子 skill 来完成具体漏洞类别的审计，并在最终文档中为每个子 skill 产出分配对应的章节标题；最后再做“整合与质量校验”。
阶段 4 与阶段 5 的「质量报告章节」中必须包含 子 skill / 审计面覆盖矩阵（建议放在靠前位置）。矩阵的每一行须与下文「子 Skill 对照表」中的能力一一对应（含路由、鉴权、trace、供应链、各专项 php-*-audit）。列至少包含：
| 列 | 含义 |
|---|---|
| 子 skill 或审计面 | 与对照表名称一致 |
| 状态 | 已执行 / 不适用 / 已延期（三选一，禁止留空） |
| 触发依据 | 已执行：依据（trace-gate、静态 sink、配置证据等）；不适用：否定证据（如全仓库检索无相关 API，须写明范围与 ripgrep 模式）；已延期：残留风险与补做条件 |
| 产出锚点 | 总报告中章节标题或段落首句，便于复核 |
规则：不要求单次会话内对每个子 skill 都执行一遍；但 矩阵须 100% 行有结论。「不适用」「已延期」必须符合上表证据要求，禁止无理由空行。
严重等级 = f(可达性, 影响范围, 利用复杂度)
Score = R × 0.40 + I × 0.35 + C × 0.25
CVSS 映射 = Score / 3.0 × 10.0
格式：{等级前缀}-{类型代码}-{序号}
类型代码（PHP 版扩展）：
SQL：SQL 注入NOSQL：NoSQL 注入CMD：命令注入SSRF：SSRFXSS：跨站脚本FILE：任意文件读取/路径穿越UPLOAD：任意文件上传/可执行上传WRITE：任意文件写入（路径穿越到写入落点）REDIR：开放重定向CRLF：CRLF/响应分割XXE：XXEDESER：反序列化/对象注入TPL：模板注入/SSTILDAP：LDAP 注入/查询过滤器注入/DN 注入EXPR：表达式注入（非模板表达式求值；包含 eval/assert 等）AUTH：认证/鉴权绕过/越权（含 IDOR）CSRF：CSRFSESS：会话固定/Cookie flags/JWT 校验缺陷/注销不彻底CFG：安全配置/CORS/错误暴露/安全头/危险开关CRYPTO：加密与密钥安全缺陷LOGIC：业务逻辑漏洞（Mass Assignment/竞态/状态机/流程绕过等）FS：文件系统操作风险（权限/链接/删除/TOCTOU 等用于链式利用）LOG：安全日志与监控缺陷（缺失审计/敏感信息写入/日志注入等）${var}。对于请求头/Body 中的主机与会话字段，统一使用 {host}/{cookie}/{token} 等占位符，不得出现未替换的 {{...}}。完成后必须执行以下检查清单：
${var} 或未替换的 {{...}}）用户提供：
source_path：PHP 项目源码路径（可为目录、仓库根目录）output_path：输出目录路径（默认 {source_path}_audit）派生变量（用于保证各子 skill 输出可对齐）：
project_name：从 source_path 目录名提取（basename）timestamp：生成时间戳，建议格式为 YYYY_MM_DD_HH_mm（用于文件名示例：2026_03_20_18_00）{output_path}/
└── {project_name}_代码审计_{timestamp}.md
说明：
routes_{timestamp}.md、auth_mapping_{timestamp}.md、vuln_audit/sql_{timestamp}.md 等“文件路径”，都仅表示要写入本次总报告中的对应章节内容分段；不落地为独立文件。route_mapping/routes_*.md 等与上表逻辑等价，详见 shared/IO_PATH_CONVENTION.md（流水线合并 vs 独立落盘）。trace_status = UNRESOLVED、未进入 SINK_SUSPECT 启发式列表、或 trace 契约未通过时，不得在报告中消失。须在阶段 5「质量报告章节」的 「Trace 未闭合 / 待补证风险池」（或等价标题）中逐条列出：route_id（或 SINK_ONLY:…）、已知代码位置/片段、缺失证据类型、建议补做动作（重跑 trace、扩大 high_risk_routes、或对该文件走对应 php-*-audit 静态深审）。SINK_SUSPECT 仅靠参数名关键词，必然漏掉「参数名普通但进入 sink」的路径；须用阶段 2（逐路由数据流）+ 阶段 2.5（全局 sink 兜底）+ 各子 skill 的 sink 扫描互相补齐。⚠️待验证（静态），直至 trace 或子 skill 用 EVID_* 闭合；不得因未走 trace-gate 而从总报告中删除 2.5 条目。✅已确认可利用（防幻觉/误报），但必须保留 ⚠️待验证 或 🔍环境依赖 条目（防漏报）。目标：识别全部“入口→路由→参数→认证链”的基础数据。
识别技术栈/入口形态（必做）
routes/web.php、routes/api.php、app/Http/Controllers/、middlewareconfig/routes/*、Controller 注解/attributes$app->get/post）wp-admin/admin-post.php、admin-ajax.php、hook 回调index.php、include 链、$_GET/$_POST 分发枚举路由/入口（必做，禁止省略）
{id}、正则路由、WordPress 参数路由）必须写出“解析规则与可控参数列表”枚举参数（必做）
$_GET/$_POST/$_REQUEST/$_FILES/$_COOKIE、php://input、getallheaders()json_decode(file_get_contents('php://input'), true)$_FILES['{file_field}'] 字段与文件名来源（name/tmp_name）识别认证链与会话机制（必做）
session_start()、$_SESSION['key']、登录态判断JWT::decode、签名校验逻辑、Authorization: BearercheckAuth()/requireLogin()/authorize() 类函数生成鉴权映射（静态映射，先不依赖 trace）
php-auth-auditSTATIC_MAPPING（仅生成 auth_mapping_{timestamp}.md 用于 P0/P1 路由分桶）route_tracer/ trace 时，允许“缺少 trace 契约证据点”，但必须输出“鉴权状态分级 + P0/P1 分桶依据”供应链漏洞扫描（组件已知 CVE/Advisory）
php-vuln-scannervuln_report/{project_name}_composer_vuln_report_{timestamp}.md框架特效审计（可选：检测到对应框架才调用）
composer.json 依赖与典型目录/入口文件特征识别 Laravel/Symfony/WordPress/CodeIgniter/Yii2php-laravel-audit，输出 framework_audit/laravel_{timestamp}.mdphp-symfony-audit，输出 framework_audit/symfony_{timestamp}.mdphp-wordpress-audit，输出 framework_audit/wordpress_{timestamp}.mdphp-codeigniter-audit，输出 framework_audit/codeigniter_{timestamp}.mdphp-yii-audit，输出 framework_audit/yii_{timestamp}.mdphp-thinkphp-audit，输出 framework_audit/thinkphp_{timestamp}.md阶段 1 输出：
routes_{timestamp}.md：完整路由清单（逐条）params_{timestamp}.md：每条路由参数来源与类型/结构（逐条）auth_audit/auth_mapping_{timestamp}.md：路由鉴权映射（含 P0/P1 分桶依据）vuln_report/{project_name}_composer_vuln_report_{timestamp}.md：组件漏洞清单（用于推断受影响路由）framework_audit/*_{timestamp}.md：框架特效审计报告（仅在阶段 1 检测到对应框架时产出）目标：建立 Source → Sink 数据流图的“可追踪版本”。
对每个路由，建立至少一条“从入口参数到敏感 Sink 的最短路径”，并记录：
pageJson.orderBy 的 PHP 对应：数组字段路径）阶段 2 输出：
vuln_audit/* 或单独建 dataflow_tracer/，这里保持简洁：内联到漏洞报告中也可）目标：在路由枚举/trace-gate 失败或证据不足时，仍能通过“静态 Sink 命中 + 本地可控性回溯 + 执行点确认”找到高危点，并一律降级为 ⚠️待验证（静态证据），直至阶段 3/4 补证。
与阶段 3/4 的差异：阶段 2.5 面向全部 PHP 源文件做“宽谱 Sink 初筛”，不依赖路由完整性与 trace 完整性，产出进入降级候选池；阶段 3/4 则在路由+trace 完成后，针对 trace-gate 通过的 Sink 做“高置信度精确审计”。两者扫描范围可能重叠，但执行时机、目标精度和输出流向不同——阶段 2.5 的产出不会替代阶段 4 的确认结果，仅作为补漏兜底。
扫描范围（不限定目录）
source_path 根目录开始递归遍历，覆盖项目内所有 PHP 源文件（例如 *.php）。vendor/ 与缓存目录（如需最大召回可把排除策略关闭）。必覆盖 Sink 集合（最低集）（防 RCE/对象注入漏报）
exec/system/shell_exec/passthru/proc_open/popen/pcntl_exec 与反引号 `cmd`eval/assert 以及已弃用但仍常见的 preg_replace(..., ..., .../e) 风险点include/require 在“可执行内容/执行边界”上存在风险时（仅读取不等于 RCE，需确认执行语义）unserialize(...) 在可控输入链上存在潜在魔术方法执行链（静态证据足够时再升级；否则待验证）扩展扫描（强烈推荐，防 SQL/SSRF/任意读等漏报）：在业务代码目录上，按 shared/PHP_SINK_REFERENCE.md 再扫一轮 SQL 执行族（query/exec/prepare+拼接线索）、SSRF 族（curl_exec/file_get_contents($url) 等）、任意读族（file_get_contents/fopen+路径拼接）。命中写入同一 sink_static_index_{timestamp}.md（或扩展 rce_sinks 附录），条目标注「扩展扫描」；结论仍为 ⚠️待验证 直至 trace 或对应 php-sql-audit/php-ssrf-audit/php-file-read-audit 闭合。
每个命中点的本地分析（必须输出）
file:line、函数/语句、sink 参数表达式（原样摘录关键片段）get/post/request()->param()、$_GET/$_POST/$_REQUEST、JSON php://input 解码结果、header/cookie 等）⚠️待验证输出与汇总规则（不依赖 route_id）
{output_path}/global_sink_fallback/：
rce_sinks_{timestamp}.md：RCE/高危执行点静态命中清单（每条包含位置、可控性回溯证据、执行点确认与结论降级理由）sink_static_index_{timestamp}.md：静态命中索引（用于质量统计与后续手工补全 trace）global_sink_fallback/rce_sinks_{timestamp}.md，并将这些项标注为“静态证据（非 trace-gate）”。目标：通过 php-route-tracer 的“实际执行证据”，把漏洞挖掘从“关键字扫描”升级为“可控性与分支证据驱动”，最大化真阳性。
阶段 3 必须按以下顺序执行：
生成高危路由集合：
auth_audit/auth_mapping_{timestamp}.md，提取 P0（❌无鉴权）与 P1（⚠️仅认证 或 🔓可绕过/越权/IDOR 的风险路由）vuln_report/{project_name}_composer_vuln_report_{timestamp}.md，把与解析入口/敏感功能相关的组件漏洞触发点“推断映射”到可能受影响路由，并标注“推断理由”SINK_SUSPECT 路由（不依赖 trace 证据点，trace-gate 在阶段 4 再做硬门槛确认）
dn/baseDn/filter/searchFilter/ldap/filterString 等关键词（或其在路由 params 中的 JSON 字段路径）expr/expression/condition/where/rule/eval 等关键词（或其在路由 params 中的 JSON 字段路径）sql/query/filter/orderBy/sort/limit/search 等关键词（或其在路由 params 中的 JSON 字段路径）cmd/command/exec/shell/run/path/filename 等关键词（或其在路由 params 中的 JSON 字段路径）url/uri/target/host/port/protocol/path 等关键词（或其在路由 params 中的 JSON 字段路径）file/path/filename/download/view/document/template 等关键词（或其在路由 params 中的 JSON 字段路径）upload/file/tmp_name/filename/multipart 等关键词（或其在路由 params 中的 JSON 字段路径）write/put_contents/fwrite/fopen/rename/copy/truncate/error_log/dest/path/target/path 等关键词（或其在路由 params 中的 JSON 字段路径）content/body/comment/title/description/html 等关键词（或其在路由 params 中的 JSON 字段路径）template/view/engine/renderer/format/expr 等关键词（或其在路由 params 中的 JSON 字段路径）xml/doctype/dtd/xxe 等关键词（或其在路由 params 中的 JSON 字段路径）serialize/unserialize/payload/object/serialized 等关键词（或其在路由 params 中的 JSON 字段路径）filter/query/where/operator/op/regex/whereClause 等关键词（或其在路由 params 中的 JSON 字段路径）next/return_to/redirect/target/url 等关键词（或其在路由 params 中的 JSON 字段路径）header/cookie/location/set-cookie 等关键词（或其在路由 params 中的 JSON 字段路径）zip/tar/phar/archive/entry/extractTo/unzip/untar 等关键词（或其在路由 params 中的 JSON 字段路径）route_id（强制）：条目来自 CLI/cron/队列、WordPress hook、include 链、阶段 2.5 静态 sink 等且无 HTTP 路由时，须使用稳定 ID（禁止留空），并在同行写明 entry_file（相对 source_path）、entry_symbol（函数/方法或 global）、trace_from（从何处开始向 sink 追踪）。推荐：ENTRY_CLI:{脚本标识}、ENTRY_CRON:{任务名}、ENTRY_QUEUE:{消费者类或文件}、ENTRY_HOOK:{hook 名}、ENTRY_INCLUDE:{文件}:{符号}、SINK_ONLY:{序号}:{基名}:{行号}（可与 sink_static_index 交叉引用）。cross_analysis/high_risk_routes_{timestamp}.md（含 P0/P1/SINK_SUSPECT；每条须有 route_id（含合成 ID）。php-route-tracer 以 route_id 标识任务，追踪起点以 entry_file+entry_symbol+trace_from 为准，不要求 ID 形如 URI。）生成分批追踪计划：
high_risk_routes_{timestamp}.mdtrace_batch_max_size 默认 10，可在 5–30 间按项目调整；须在计划中写选型理由（例：同模块可合并加大批次；调用链深、跨文件多、参数面宽或上下文预算紧则减小批次）。trace_batch_plan_{timestamp}.md 每一批须含：batch_id、本批采用的 trace_batch_max_size、选型理由（1–3 句）、本批 route_id 有序列表。cross_analysis/trace_batch_plan_{timestamp}.md批量调用追踪器（必须）：
php-route-tracerroute_tracer/{route_id}/trace_{timestamp}.md触发条件（硬门槛）：
php-*-audittrace 契约校验（必须）：
## 7) Sink Summary## 5) 参数可控性矩阵## 6) Sink 定位## 8) Trace 完整性声明## 9) Sink Evidence Type ChecklistPARTIAL 或 UNRESOLVED⚠️待验证，且不得直接给出 ✅已确认可利用。Sink 类型抓手、危险模式与强制验证的完整条文见本仓库 shared/PHP_SINK_REFERENCE.md（章节 3.1–3.16 及 LDAP/EXPR）。阶段 3/4 据 trace 筛选是否触发对应 php-*-audit 时，以该文件为准。
阶段 3 输出：
cross_analysis/high_risk_routes_{timestamp}.mdcross_analysis/trace_batch_plan_{timestamp}.mdroute_tracer/ 下每条追踪路由的 trace_{timestamp}.md（含参数可控性表与分支路径证据）步骤：
route_tracer/ 的 trace 中筛选需要“trace-gate”的漏洞类别与“参数实际使用状态”（必须以 trace 可控性矩阵为准）。
## 9) … CFG 作为唯一门槛）。说明：php-route-tracer 的检查表中虽含 CFG 行，仅作增强证据；php-config-audit 等仍须在阶段 4 无条件按计划执行（除非覆盖矩阵中已用否定证据标为不适用）。php-route-tracer 的 ## 9) Sink Evidence Type Checklist 对应行（FILE/UPLOAD/WRITE/ARCHIVE/SSRF/SQL/NOSQL/CMD/XSS/REDIR/CRLF/XXE/DESER/TPL/LDAP/EXPR/AUTH/CSRF/SESS）的证据要点作为审计依据（要求证据点 ID 原样一致）AUTH：调用 php-auth-audit 的 TRACE_AUDIT 模式（必须引用 trace 证据点 ID）trace 完整性回退规则（必须）：
⚠️待验证 模式（不得直接给出 ✅已确认可利用）route_id 单列一条：已知片段（来自 trace 的可达部分）、缺失证据、建议下一步（补 trace / 纳入 SINK_ONLY 静态深审 / 调用对应 php-*-audit）。若该路由与阶段 2.5 静态命中可关联，须写交叉引用。文件系统操作审计（非 trace-gate，静态证据驱动）：
php-filesystem-auditvuln_audit/fs_{timestamp}.md✅/⚠️/❌/🔍，不以 php-route-tracer 的证据契约字段为前置硬门槛并最终给出：
在总报告中生成“质量报告章节”，包含：
子 skill / 审计面覆盖矩阵：与上文「子审计覆盖矩阵（强制）」同结构，置于质量报告靠前位置；须与阶段 4 实际执行情况一致，不得矛盾。
风险统计表（🔴/🟠/🟡/🔵 数量与 CVSS 区间）
漏洞列表总览（逐条引用本报告中对应的漏洞详情段落）
「Trace 未闭合 / 待补证风险池」（强制）：汇总 trace_status ∈ {PARTIAL, UNRESOLVED} 的 route_id、阶段 2.5 sink_static_index 中尚未被 trace 闭合的条目、以及「扩展扫描」命中项；与「漏洞列表总览」并列，禁止因证据不足而删除记录（未闭合 ≠ 无风险）。
覆盖率：路由覆盖、鉴权覆盖、Sink 覆盖、关键分支覆盖（用“已完成/待补充”而非省略；建议阈值：路由覆盖与 Sink 覆盖 >= 90%）
框架特效审计汇总：如果存在 framework_audit/*.md，需要将其风险映射到统一类型码（AUTH/CSRF/TPL/XSS/SQL/LOGIC/CFG/SESS/SSRF/…），统计数量与最高严重等级，并在汇总中注明“框架风险来源于哪些 framework_audit 报告文件”
框架审计豁免说明：框架特效审计（Laravel/Symfony/WordPress/CodeIgniter/Yii2/ThinkPHP）属于“静态配置/模式匹配”型审计，其发现的风险不需要经过
php-route-tracer的 trace-gate 或## 9) Sink Evidence Type Checklist的证据校验。框架审计结果直接按其自身规则分级并映射到统一类型码即可。
证据完整度评分（Evidence Completeness）：对所有 trace-gate sink 类型（FILE/UPLOAD/WRITE/ARCHIVE/SSRF/SQL/NOSQL/CMD/XSS/REDIR/CRLF/XXE/DESER/TPL/LDAP/EXPR/AUTH/CSRF/SESS），按 shared/EVIDENCE_POINT_IDS.md 中定义的证据点 ID 集合进行计数：覆盖率% = 已满足证据点数 / 该类型所需证据点总数 × 100%；并在表格中列出缺失的证据点 ID（必须原样一致）与缺失原因（如 trace_status=PARTIAL/UNRESOLVED、证据点定位失败、参数不可控等）。
阶段 5.1：利用链聚合（强制）
php-exploit-chain-audit每条漏洞必须遵循以下结构（写入本次总报告的漏洞详情段落）：
### [{等级前缀}-{类型代码}-{序号}] {风险标题}
| 项目 | 信息 |
|------|------|
| 严重等级 | {🔴/🟠/🟡/🔵} (CVSS {score}) |
| 可达性 (R) | {0-3} - {理由} |
| 影响范围 (I) | {0-3} - {理由} |
| 利用复杂度 (C) | {0-3} - {理由} |
| 可利用性 | ✅ 已确认 / ⚠️ 待验证 / ❌ 不可利用 / 🔍 环境依赖 |
| 位置 | {文件路径}:{行号} ({函数/方法}) |
#### 数据流链（Source → Sink）
(按路由逐行写出赋值/传递/拼接/校验/分支，禁止省略)
{HTTP Method} {完整路径与查询/Body} HTTP/1.1
Host: {host}
{必要 Header/Session/JWT/Cookie}
{Payload}
## 说明文档（审计 READMEs）
必须在本次总报告内生成以下附录章节：
- 如何识别 PHP 路由与参数
- 如何识别会话/JWT 并审计鉴权链
- 如何结合 `shared/PHP_SINK_REFERENCE.md` 做按类型的 Sink 挖掘与 trace-gate 对齐
## 自检与质量保证（强制）
在标记完成前，必须回答并自检：
- [ ] 「子 skill / 审计面覆盖矩阵」是否已对对照表**每一行**给出已执行/不适用/已延期，且不适用与已延期均附触发依据或否定证据？
- [ ] 我是否按 `shared/PHP_SINK_REFERENCE.md` 与 trace 结果覆盖了常见高危类别（SQL/NOSQL/CMD/SSRF/XSS/FILE/UPLOAD/WRITE/ARCHIVE/XXE/DESER/TPL/AUTH/CSRF/REDIR/CRLF/SESS/CRYPTO/CFG/LOG/FS）？
- [ ] 我是否覆盖 LDAP/EXPR（或矩阵中「不适用」已附否定证据）？
- [ ] 每条漏洞是否都有数据流链与可利用前置条件？
- [ ] 是否没有任何省略写法？
- [ ] 是否没有任何未替换的模板占位符？
- [ ] **「Trace 未闭合 / 待补证风险池」**是否已列出所有 `PARTIAL/UNRESOLVED` 及 2.5 未闭合静态命中，且与漏洞列表无矛盾？
## 子 Skill 对照表（能力清单 + 矩阵对齐）
下表为**必须出现在「子 skill / 审计面覆盖矩阵」中的行清单**。阶段 3/4 按 trace-gate 与静态证据触发对应 skill；**未执行**的行须在矩阵中标记「不适用」或「已延期」并满足矩阵列要求（禁止空行、禁止无理由跳过）。
1. 路由/参数：`php-route-mapper`
2. 鉴权：`php-auth-audit`
3. 深度追踪：`php-route-tracer`（用于任何需要可控性/分支证据的场景）
4. 组件漏洞（供应链）：`php-vuln-scanner`
5. 利用链聚合：`php-exploit-chain-audit`（在阶段 5.1 强制调用）
6. 文件系统操作审计：`php-filesystem-audit`（在阶段 4 以静态证据驱动执行）
按漏洞类别调用：
- SQL 注入：`php-sql-audit`
- NoSQL 注入：`php-nosql-audit`
- 命令注入：`php-cmd-audit`
- SSRF：`php-ssrf-audit`
- XSS：`php-xss-audit`
- 模板注入/SSTI：`php-tpl-audit`
- LDAP 注入：`php-ldap-audit`
- 表达式注入（非模板）：`php-expr-audit`
- 任意文件读取/路径穿越：`php-file-read-audit`
- 文件上传：`php-file-upload-audit`
- 任意文件写入：`php-file-write-audit`
- 归档解压路径穿越/Zip Slip：`php-archive-extract-audit`
- XXE：`php-xxe-audit`
- 反序列化/对象注入：`php-deser-audit`
- 认证/鉴权绕过/越权/IDOR：`php-auth-audit`（与鉴权状态、资源归属一起落入汇总）
- CSRF：`php-csrf-audit`
- 开放重定向：`php-open-redirect-audit`
- CRLF/响应分割：`php-crlf-audit`
- 会话与 Cookie 安全：`php-session-cookie-audit`
- 加密与密钥安全：`php-crypto-audit`
- 安全配置（CORS/错误暴露/安全头/危险开关）：`php-config-audit`
- 业务逻辑漏洞（Mass Assignment/竞态/状态机/流程绕过）：`php-logic-audit`
- 安全日志与监控：`php-logging-audit`