Menü
PHP Web 配置安全审计工具。识别 CORS/错误暴露/调试开关/安全头/危险运行时开关等，输出分级、可利用性分析、PoC 与修复建议（禁止省略）。
Mit Codex oder Claude installieren Kopieren Sie diesen Prompt, fügen Sie ihn in Codex, Claude oder einen anderen Assistant ein und lassen Sie die Skill-Seite prüfen und installieren.
Basierend auf der SOC-Berufsklassifikation
| name | php-config-audit |
| description | PHP Web 配置安全审计工具。识别 CORS/错误暴露/调试开关/安全头/危险运行时开关等，输出分级、可利用性分析、PoC 与修复建议（禁止省略）。 |
分析 PHP 项目配置与运行时设置，检测安全相关配置缺陷：
allow_url_include、file_uploads 等与业务联动的危险组合）shared/SEVERITY_RATING.md{C/H/M/L}-CFG-{序号}必须给出每条问题的证据路径：
.env、config/*.php/yaml、php.ini、Dockerfile/entrypoint）ini_set、set_exception_handler、响应头中间件）必须给出可观察 PoC（例如 curl -i）或请求步骤：
CFG 属于非 trace-gate 类别：配置安全审计以静态配置文件/代码证据为主要依据，不以
php-route-tracer的 trace-gate 或## 9) Sink Evidence Type Checklist作为前置硬门槛。若 trace 产出中存在 CFG 行证据，可作为增强引用。
每条配置安全疑似风险必须给出以下证据（来源为静态代码/配置文件，trace 可作为增强）：
EVID_CFG_CONFIG_LOCATION：配置文件/环境变量位置证据（例如 .env、config/*.php/yaml、php.ini、Dockerfile/entrypoint）EVID_CFG_RUNTIME_SETTING_CODE：运行时设置代码位置证据（ini_set/set_exception_handler/响应头中间件等）EVID_CFG_IMPACT_ASSOCIATION：影响点关联证据（哪些路由/响应被该配置影响）EVID_CFG_SECURITY_SWITCH_EVIDENCE：安全头/错误暴露/CORS/危险开关等关键配置证据✅已确认可利用 或 🟡高概率。⚠️待验证。{output_path}/vuln_audit/cfg_{timestamp}.md
PHP Web 归档解压（Zip Slip/路径穿越）审计工具。识别解压条目名如何与目标目录拼接、是否存在 base dir 约束缺失，输出可利用性分级、可观测 PoC 与修复建议（禁止省略）。
PHP Web 全链路白盒代码安全审计流水线（多文件版编排）。作为总编排参考，按 Sink 类型调用各子审计 skill（`php-route-mapper/php-auth-audit/php-route-tracer/php-*-audit`），并复用统一输出与分级标准。
PHP Web 源码鉴权机制审计工具。从源码中识别所有认证/鉴权实现并分析风险，输出路由-鉴权映射与漏洞分析（含 PoC 与修复建议）。
PHP Web 源码命令注入审计工具。识别命令执行 Sink（exec/system/shell_exec 等），追踪用户输入进入命令拼接，输出可利用性分级、PoC 与修复建议（禁止省略）。
CodeIgniter 框架特效安全审计工具。针对 CodeIgniter 的 CSRF、XSS 输出过滤、数据库查询构造、路由与验证器配置、会话 Cookie 安全等机制进行白盒静态审计，并映射到通用漏洞类型体系（CSRF/AUTH/XSS/SQL/CFG/SESS 等）。
PHP Web 源码 CRLF/响应分割审计工具。识别用户输入进入 HTTP 响应头，分析换行/控制字符过滤与编码，输出分级、PoC 与修复建议（禁止省略）。