Menu
PHP Web 源码 XXE 审计工具。识别 XML 解析点与实体处理配置，追踪 XML 输入来源与回显，输出可利用性分级、PoC 与修复建议（禁止省略）。
Install with Codex or Claude Copy this prompt, paste it into Codex, Claude, or another assistant, and let it review the skill page and install it for you.
Based on SOC occupation classification
| name | php-xxe-audit |
| description | PHP Web 源码 XXE 审计工具。识别 XML 解析点与实体处理配置，追踪 XML 输入来源与回显，输出可利用性分级、PoC 与修复建议（禁止省略）。 |
分析 PHP 项目源码，识别 XXE（XML External Entity）风险：当 XML 解析点允许外部实体/DOCTYPE，且 XML 输入可控、并存在回显或 OOB 通道时，可能导致文件读取/SSRF/DoS。
shared/SEVERITY_RATING.md{C/H/M/L}-XXE-{序号}识别 XML 解析相关：
DOMDocument->loadXML/loadHTMLsimplexml_load_string/simplexml_load_fileXMLReader->open/xmlDOMDocument->load（若内容来自用户可控字符串/流）
危险模式：必须输出解析器防护证据：
LIBXML_NONET、LIBXML_NOENT（注意：NOENT 可能放大风险）、LIBXML_DTDLOAD 等使用情况libxml_disable_entity_loader(true)（不同 PHP 版本策略不同，仍需给证据）必须分别输出：
$_POST/php://input/上传文件流等echo/模板输出）或仅 Blind（OOB）。每条 XXE 疑似漏洞必须逐项引用 trace 输出中 ## 9) Sink Evidence Type Checklist 的 XXE 行对应证据要点（允许状态为待验证，但证据引用必须存在）：
EVID_XXE_PARSER_CALL：XML 解析器调用点位置证据（DOMDocument->loadXML/simplexml_load_string/XMLReader->open 等）EVID_XXE_INPUT_SOURCE：输入流来源证据（$_POST/php://input/上传读取/参数进入解析的对应证据）EVID_XXE_ENTITY_DOCTYPE_SAFETY_AND_ECHO：外部实体/DOCTYPE 禁用相关安全选项证据（LIBXML_* 或禁用策略）以及解析结果回显位置证据⚠️待验证，不得直接给出 ✅已确认可利用。输出到：
{output_path}/vuln_audit/xxe_{timestamp}.md
PHP Web 归档解压（Zip Slip/路径穿越）审计工具。识别解压条目名如何与目标目录拼接、是否存在 base dir 约束缺失，输出可利用性分级、可观测 PoC 与修复建议（禁止省略）。
PHP Web 全链路白盒代码安全审计流水线（多文件版编排）。作为总编排参考，按 Sink 类型调用各子审计 skill（`php-route-mapper/php-auth-audit/php-route-tracer/php-*-audit`），并复用统一输出与分级标准。
PHP Web 源码鉴权机制审计工具。从源码中识别所有认证/鉴权实现并分析风险，输出路由-鉴权映射与漏洞分析（含 PoC 与修复建议）。
PHP Web 源码命令注入审计工具。识别命令执行 Sink（exec/system/shell_exec 等），追踪用户输入进入命令拼接，输出可利用性分级、PoC 与修复建议（禁止省略）。
CodeIgniter 框架特效安全审计工具。针对 CodeIgniter 的 CSRF、XSS 输出过滤、数据库查询构造、路由与验证器配置、会话 Cookie 安全等机制进行白盒静态审计，并映射到通用漏洞类型体系（CSRF/AUTH/XSS/SQL/CFG/SESS 等）。
PHP Web 配置安全审计工具。识别 CORS/错误暴露/调试开关/安全头/危险运行时开关等，输出分级、可利用性分析、PoC 与修复建议（禁止省略）。