// PHP Web 全链路白盒代码安全审计流水线（多文件版编排）。作为总编排参考，按 Sink 类型调用各子审计 skill（`php-route-mapper/php-auth-audit/php-route-tracer/php-*-audit`），并复用统一输出与分级标准。
PHP Web 归档解压（Zip Slip/路径穿越）审计工具。识别解压条目名如何与目标目录拼接、是否存在 base dir 约束缺失，输出可利用性分级、可观测 PoC 与修复建议（禁止省略）。
PHP Web 源码鉴权机制审计工具。从源码中识别所有认证/鉴权实现并分析风险，输出路由-鉴权映射与漏洞分析（含 PoC 与修复建议）。
PHP Web 源码命令注入审计工具。识别命令执行 Sink（exec/system/shell_exec 等），追踪用户输入进入命令拼接，输出可利用性分级、PoC 与修复建议（禁止省略）。
CodeIgniter 框架特效安全审计工具。针对 CodeIgniter 的 CSRF、XSS 输出过滤、数据库查询构造、路由与验证器配置、会话 Cookie 安全等机制进行白盒静态审计，并映射到通用漏洞类型体系（CSRF/AUTH/XSS/SQL/CFG/SESS 等）。
PHP Web 配置安全审计工具。识别 CORS/错误暴露/调试开关/安全头/危险运行时开关等，输出分级、可利用性分析、PoC 与修复建议（禁止省略）。
PHP Web 源码 CRLF/响应分割审计工具。识别用户输入进入 HTTP 响应头，分析换行/控制字符过滤与编码，输出分级、PoC 与修复建议（禁止省略）。
| name | php-audit-pipeline |
| description | PHP Web 全链路白盒代码安全审计流水线（多文件版编排）。作为总编排参考，按 Sink 类型调用各子审计 skill（`php-route-mapper/php-auth-audit/php-route-tracer/php-*-audit`），并复用统一输出与分级标准。 |
本 skill 在当前安装形态下是“文档编排/方法论”版本，通常不会在本地仓库中提供可执行脚本（例如 scripts/*.py）。
当环境中不存在对应执行器时，应直接使用文档里描述的阶段化流程（route-mapper / auth-audit / vuln-scanner / route-tracer 等）进行源码分析与报告生成；如果看到“正在寻找执行器脚本”的提示，可将其视为“未找到执行器，改走阶段化降级流程”，不要把它当作路径错误。
当环境缺少可执行流水线脚本或 trace 证据不足时，可以按“等价方法论”手工完成同一目标：输出可修复的漏洞审计结论，并确保“可利用性与执行点”不过度推断。
先做关键字/函数抓手定位（Source/Sink）
source_path 根目录开始递归遍历（不限定具体业务目录；默认仍排除 vendor/、缓存目录，可按需要调整）检索 Source/Sink 候选。再做参数可控性验证（可控性矩阵）
get_params()、request()->post()、$_GET/$_POST/$_REQUEST、body（php://input）、header/cookie。✅完全可控 / ⚠️条件可控 / ❌不可控，并写出拦截/硬化点的代码证据位置。最后做执行点确认（真实落点）
⚠️待验证 / 🔍环境依赖，不要写 ✅已确认可利用。输出建议（用于降低误报）
（可选）示例验证抓手（与你的本次审计一致，作为参考，不作为唯一标准）：
Db::query($sql) / 动态查询相关调用：验证 $sql 是否由用户输入拼接或经过不充分校验。unlink() / rmdir() / fopen() / opendir()：验证路径参数来源与路径穿越/相对路径归一化情况。Filesystem::putFileAs(...)：验证落点目录是否可控、是否可被 Web 访问、是否可执行。unserialize($data)：验证 $data 是否直接/间接来自用户输入，以及是否存在可触发魔术方法链。curl_exec / curl_setopt(CURLOPT_URL, $url)：验证 URL 是否可控，协议/内网过滤是否存在。你是一位高级白盒安全审计专家。你的目标不是“找一两个危险点”，而是以数据流分析 + 业务逻辑验证的方式，输出一份可用于落地修复的安全审计报告。
本流水线采用“先分后合”的两阶段输出策略：
routes_{timestamp}.md、vuln_audit/sql_{timestamp}.md 等路径，表示各子 skill 的逻辑输出单元，而非独立落盘文件）。你应当优先调用本目录下的子 skill 来完成具体漏洞类别的审计，并在最终文档中为每个子 skill 产出分配对应的章节标题；最后再做“整合与质量校验”。
阶段 4 与阶段 5 的「质量报告章节」中必须包含 子 skill / 审计面覆盖矩阵（建议放在靠前位置）。矩阵的每一行须与下文「子 Skill 对照表」中的能力一一对应（含路由、鉴权、trace、供应链、各专项 php-*-audit）。列至少包含：
| 列 | 含义 |
|---|---|
| 子 skill 或审计面 | 与对照表名称一致 |
| 状态 | 已执行 / 不适用 / 已延期（三选一，禁止留空） |
| 触发依据 | 已执行：依据（trace-gate、静态 sink、配置证据等）；不适用：否定证据（如全仓库检索无相关 API，须写明范围与 ripgrep 模式）；已延期：残留风险与补做条件 |
| 产出锚点 | 总报告中章节标题或段落首句，便于复核 |
规则：不要求单次会话内对每个子 skill 都执行一遍；但 矩阵须 100% 行有结论。「不适用」「已延期」必须符合上表证据要求，禁止无理由空行。
严重等级 = f(可达性, 影响范围, 利用复杂度)
Score = R × 0.40 + I × 0.35 + C × 0.25
CVSS 映射 = Score / 3.0 × 10.0
格式：{等级前缀}-{类型代码}-{序号}
类型代码（PHP 版扩展）：
SQL：SQL 注入NOSQL：NoSQL 注入CMD：命令注入SSRF：SSRFXSS：跨站脚本FILE：任意文件读取/路径穿越UPLOAD：任意文件上传/可执行上传WRITE：任意文件写入（路径穿越到写入落点）REDIR：开放重定向CRLF：CRLF/响应分割XXE：XXEDESER：反序列化/对象注入TPL：模板注入/SSTILDAP：LDAP 注入/查询过滤器注入/DN 注入EXPR：表达式注入（非模板表达式求值；包含 eval/assert 等）AUTH：认证/鉴权绕过/越权（含 IDOR）CSRF：CSRFSESS：会话固定/Cookie flags/JWT 校验缺陷/注销不彻底CFG：安全配置/CORS/错误暴露/安全头/危险开关CRYPTO：加密与密钥安全缺陷LOGIC：业务逻辑漏洞（Mass Assignment/竞态/状态机/流程绕过等）FS：文件系统操作风险（权限/链接/删除/TOCTOU 等用于链式利用）LOG：安全日志与监控缺陷（缺失审计/敏感信息写入/日志注入等）${var}。对于请求头/Body 中的主机与会话字段，统一使用 {host}/{cookie}/{token} 等占位符，不得出现未替换的 {{...}}。完成后必须执行以下检查清单：
${var} 或未替换的 {{...}}）用户提供：
source_path：PHP 项目源码路径（可为目录、仓库根目录）output_path：输出目录路径（默认 {source_path}_audit）派生变量（用于保证各子 skill 输出可对齐）：
project_name：从 source_path 目录名提取（basename）timestamp：生成时间戳，建议格式为 YYYY_MM_DD_HH_mm（用于文件名示例：2026_03_20_18_00）{output_path}/
└── {project_name}_代码审计_{timestamp}.md
说明：
routes_{timestamp}.md、auth_mapping_{timestamp}.md、vuln_audit/sql_{timestamp}.md 等“文件路径”，都仅表示要写入本次总报告中的对应章节内容分段；不落地为独立文件。route_mapping/routes_*.md 等与上表逻辑等价，详见 shared/IO_PATH_CONVENTION.md（流水线合并 vs 独立落盘）。trace_status = UNRESOLVED、未进入 SINK_SUSPECT 启发式列表、或 trace 契约未通过时，不得在报告中消失。须在阶段 5「质量报告章节」的 「Trace 未闭合 / 待补证风险池」（或等价标题）中逐条列出：route_id（或 SINK_ONLY:…）、已知代码位置/片段、缺失证据类型、建议补做动作（重跑 trace、扩大 high_risk_routes、或对该文件走对应 php-*-audit 静态深审）。SINK_SUSPECT 仅靠参数名关键词，必然漏掉「参数名普通但进入 sink」的路径；须用阶段 2（逐路由数据流）+ 阶段 2.5（全局 sink 兜底）+ 各子 skill 的 sink 扫描互相补齐。⚠️待验证（静态），直至 trace 或子 skill 用 EVID_* 闭合；不得因未走 trace-gate 而从总报告中删除 2.5 条目。✅已确认可利用（防幻觉/误报），但必须保留 ⚠️待验证 或 🔍环境依赖 条目（防漏报）。目标：识别全部“入口→路由→参数→认证链”的基础数据。
识别技术栈/入口形态（必做）
routes/web.php、routes/api.php、app/Http/Controllers/、middlewareconfig/routes/*、Controller 注解/attributes$app->get/post）wp-admin/admin-post.php、admin-ajax.php、hook 回调index.php、include 链、$_GET/$_POST 分发枚举路由/入口（必做，禁止省略）
{id}、正则路由、WordPress 参数路由）必须写出“解析规则与可控参数列表”枚举参数（必做）
$_GET/$_POST/$_REQUEST/$_FILES/$_COOKIE、php://input、getallheaders()json_decode(file_get_contents('php://input'), true)$_FILES['{file_field}'] 字段与文件名来源（name/tmp_name）识别认证链与会话机制（必做）
session_start()、$_SESSION['key']、登录态判断JWT::decode、签名校验逻辑、Authorization: BearercheckAuth()/requireLogin()/authorize() 类函数生成鉴权映射（静态映射，先不依赖 trace）
php-auth-auditSTATIC_MAPPING（仅生成 auth_mapping_{timestamp}.md 用于 P0/P1 路由分桶）route_tracer/ trace 时，允许“缺少 trace 契约证据点”，但必须输出“鉴权状态分级 + P0/P1 分桶依据”供应链漏洞扫描（组件已知 CVE/Advisory）
php-vuln-scannervuln_report/{project_name}_composer_vuln_report_{timestamp}.md框架特效审计（可选：检测到对应框架才调用）
composer.json 依赖与典型目录/入口文件特征识别 Laravel/Symfony/WordPress/CodeIgniter/Yii2php-laravel-audit，输出 framework_audit/laravel_{timestamp}.mdphp-symfony-audit，输出 framework_audit/symfony_{timestamp}.mdphp-wordpress-audit，输出 framework_audit/wordpress_{timestamp}.mdphp-codeigniter-audit，输出 framework_audit/codeigniter_{timestamp}.mdphp-yii-audit，输出 framework_audit/yii_{timestamp}.mdphp-thinkphp-audit，输出 framework_audit/thinkphp_{timestamp}.md阶段 1 输出：
routes_{timestamp}.md：完整路由清单（逐条）params_{timestamp}.md：每条路由参数来源与类型/结构（逐条）auth_audit/auth_mapping_{timestamp}.md：路由鉴权映射（含 P0/P1 分桶依据）vuln_report/{project_name}_composer_vuln_report_{timestamp}.md：组件漏洞清单（用于推断受影响路由）framework_audit/*_{timestamp}.md：框架特效审计报告（仅在阶段 1 检测到对应框架时产出）目标：建立 Source → Sink 数据流图的“可追踪版本”。
对每个路由，建立至少一条“从入口参数到敏感 Sink 的最短路径”，并记录：
pageJson.orderBy 的 PHP 对应：数组字段路径）阶段 2 输出：
vuln_audit/* 或单独建 dataflow_tracer/，这里保持简洁：内联到漏洞报告中也可）目标：在路由枚举/trace-gate 失败或证据不足时，仍能通过“静态 Sink 命中 + 本地可控性回溯 + 执行点确认”找到高危点，并一律降级为 ⚠️待验证（静态证据），直至阶段 3/4 补证。
与阶段 3/4 的差异：阶段 2.5 面向全部 PHP 源文件做“宽谱 Sink 初筛”，不依赖路由完整性与 trace 完整性，产出进入降级候选池；阶段 3/4 则在路由+trace 完成后，针对 trace-gate 通过的 Sink 做“高置信度精确审计”。两者扫描范围可能重叠，但执行时机、目标精度和输出流向不同——阶段 2.5 的产出不会替代阶段 4 的确认结果，仅作为补漏兜底。
扫描范围（不限定目录）
source_path 根目录开始递归遍历，覆盖项目内所有 PHP 源文件（例如 *.php）。vendor/ 与缓存目录（如需最大召回可把排除策略关闭）。必覆盖 Sink 集合（最低集）（防 RCE/对象注入漏报）
exec/system/shell_exec/passthru/proc_open/popen/pcntl_exec 与反引号 `cmd`eval/assert 以及已弃用但仍常见的 preg_replace(..., ..., .../e) 风险点include/require 在“可执行内容/执行边界”上存在风险时（仅读取不等于 RCE，需确认执行语义）unserialize(...) 在可控输入链上存在潜在魔术方法执行链（静态证据足够时再升级；否则待验证）扩展扫描（强烈推荐，防 SQL/SSRF/任意读等漏报）：在业务代码目录上，按 shared/PHP_SINK_REFERENCE.md 再扫一轮 SQL 执行族（query/exec/prepare+拼接线索）、SSRF 族（curl_exec/file_get_contents($url) 等）、任意读族（file_get_contents/fopen+路径拼接）。命中写入同一 sink_static_index_{timestamp}.md（或扩展 rce_sinks 附录），条目标注「扩展扫描」；结论仍为 ⚠️待验证 直至 trace 或对应 php-sql-audit/php-ssrf-audit/php-file-read-audit 闭合。
每个命中点的本地分析（必须输出）
file:line、函数/语句、sink 参数表达式（原样摘录关键片段）get/post/request()->param()、$_GET/$_POST/$_REQUEST、JSON php://input 解码结果、header/cookie 等）⚠️待验证输出与汇总规则（不依赖 route_id）
{output_path}/global_sink_fallback/：
rce_sinks_{timestamp}.md：RCE/高危执行点静态命中清单（每条包含位置、可控性回溯证据、执行点确认与结论降级理由）sink_static_index_{timestamp}.md：静态命中索引（用于质量统计与后续手工补全 trace）global_sink_fallback/rce_sinks_{timestamp}.md，并将这些项标注为“静态证据（非 trace-gate）”。目标：通过 php-route-tracer 的“实际执行证据”，把漏洞挖掘从“关键字扫描”升级为“可控性与分支证据驱动”，最大化真阳性。
阶段 3 必须按以下顺序执行：
生成高危路由集合：
auth_audit/auth_mapping_{timestamp}.md，提取 P0（❌无鉴权）与 P1（⚠️仅认证 或 🔓可绕过/越权/IDOR 的风险路由）vuln_report/{project_name}_composer_vuln_report_{timestamp}.md，把与解析入口/敏感功能相关的组件漏洞触发点“推断映射”到可能受影响路由，并标注“推断理由”SINK_SUSPECT 路由（不依赖 trace 证据点，trace-gate 在阶段 4 再做硬门槛确认）
dn/baseDn/filter/searchFilter/ldap/filterString 等关键词（或其在路由 params 中的 JSON 字段路径）expr/expression/condition/where/rule/eval 等关键词（或其在路由 params 中的 JSON 字段路径）sql/query/filter/orderBy/sort/limit/search 等关键词（或其在路由 params 中的 JSON 字段路径）cmd/command/exec/shell/run/path/filename 等关键词（或其在路由 params 中的 JSON 字段路径）url/uri/target/host/port/protocol/path 等关键词（或其在路由 params 中的 JSON 字段路径）file/path/filename/download/view/document/template 等关键词（或其在路由 params 中的 JSON 字段路径）upload/file/tmp_name/filename/multipart 等关键词（或其在路由 params 中的 JSON 字段路径）write/put_contents/fwrite/fopen/rename/copy/truncate/error_log/dest/path/target/path 等关键词（或其在路由 params 中的 JSON 字段路径）content/body/comment/title/description/html 等关键词（或其在路由 params 中的 JSON 字段路径）template/view/engine/renderer/format/expr 等关键词（或其在路由 params 中的 JSON 字段路径）xml/doctype/dtd/xxe 等关键词（或其在路由 params 中的 JSON 字段路径）serialize/unserialize/payload/object/serialized 等关键词（或其在路由 params 中的 JSON 字段路径）filter/query/where/operator/op/regex/whereClause 等关键词（或其在路由 params 中的 JSON 字段路径）next/return_to/redirect/target/url 等关键词（或其在路由 params 中的 JSON 字段路径）header/cookie/location/set-cookie 等关键词（或其在路由 params 中的 JSON 字段路径）zip/tar/phar/archive/entry/extractTo/unzip/untar 等关键词（或其在路由 params 中的 JSON 字段路径）route_id（强制）：条目来自 CLI/cron/队列、WordPress hook、include 链、阶段 2.5 静态 sink 等且无 HTTP 路由时，须使用稳定 ID（禁止留空），并在同行写明 entry_file（相对 source_path）、entry_symbol（函数/方法或 global）、trace_from（从何处开始向 sink 追踪）。推荐：ENTRY_CLI:{脚本标识}、ENTRY_CRON:{任务名}、ENTRY_QUEUE:{消费者类或文件}、ENTRY_HOOK:{hook 名}、ENTRY_INCLUDE:{文件}:{符号}、SINK_ONLY:{序号}:{基名}:{行号}（可与 sink_static_index 交叉引用）。cross_analysis/high_risk_routes_{timestamp}.md（含 P0/P1/SINK_SUSPECT；每条须有 route_id（含合成 ID）。php-route-tracer 以 route_id 标识任务，追踪起点以 entry_file+entry_symbol+trace_from 为准，不要求 ID 形如 URI。）生成分批追踪计划：
high_risk_routes_{timestamp}.mdtrace_batch_max_size 默认 10，可在 5–30 间按项目调整；须在计划中写选型理由（例：同模块可合并加大批次；调用链深、跨文件多、参数面宽或上下文预算紧则减小批次）。trace_batch_plan_{timestamp}.md 每一批须含：batch_id、本批采用的 trace_batch_max_size、选型理由（1–3 句）、本批 route_id 有序列表。cross_analysis/trace_batch_plan_{timestamp}.md批量调用追踪器（必须）：
php-route-tracerroute_tracer/{route_id}/trace_{timestamp}.md触发条件（硬门槛）：
php-*-audittrace 契约校验（必须）：
## 7) Sink Summary## 5) 参数可控性矩阵## 6) Sink 定位## 8) Trace 完整性声明## 9) Sink Evidence Type ChecklistPARTIAL 或 UNRESOLVED⚠️待验证，且不得直接给出 ✅已确认可利用。Sink 类型抓手、危险模式与强制验证的完整条文见本仓库 shared/PHP_SINK_REFERENCE.md（章节 3.1–3.16 及 LDAP/EXPR）。阶段 3/4 据 trace 筛选是否触发对应 php-*-audit 时，以该文件为准。
阶段 3 输出：
cross_analysis/high_risk_routes_{timestamp}.mdcross_analysis/trace_batch_plan_{timestamp}.mdroute_tracer/ 下每条追踪路由的 trace_{timestamp}.md（含参数可控性表与分支路径证据）步骤：
route_tracer/ 的 trace 中筛选需要“trace-gate”的漏洞类别与“参数实际使用状态”（必须以 trace 可控性矩阵为准）。
## 9) … CFG 作为唯一门槛）。说明：php-route-tracer 的检查表中虽含 CFG 行，仅作增强证据；php-config-audit 等仍须在阶段 4 无条件按计划执行（除非覆盖矩阵中已用否定证据标为不适用）。php-route-tracer 的 ## 9) Sink Evidence Type Checklist 对应行（FILE/UPLOAD/WRITE/ARCHIVE/SSRF/SQL/NOSQL/CMD/XSS/REDIR/CRLF/XXE/DESER/TPL/LDAP/EXPR/AUTH/CSRF/SESS）的证据要点作为审计依据（要求证据点 ID 原样一致）AUTH：调用 php-auth-audit 的 TRACE_AUDIT 模式（必须引用 trace 证据点 ID）trace 完整性回退规则（必须）：
⚠️待验证 模式（不得直接给出 ✅已确认可利用）route_id 单列一条：已知片段（来自 trace 的可达部分）、缺失证据、建议下一步（补 trace / 纳入 SINK_ONLY 静态深审 / 调用对应 php-*-audit）。若该路由与阶段 2.5 静态命中可关联，须写交叉引用。文件系统操作审计（非 trace-gate，静态证据驱动）：
php-filesystem-auditvuln_audit/fs_{timestamp}.md✅/⚠️/❌/🔍，不以 php-route-tracer 的证据契约字段为前置硬门槛并最终给出：
在总报告中生成“质量报告章节”，包含：
子 skill / 审计面覆盖矩阵：与上文「子审计覆盖矩阵（强制）」同结构，置于质量报告靠前位置；须与阶段 4 实际执行情况一致，不得矛盾。
风险统计表（🔴/🟠/🟡/🔵 数量与 CVSS 区间）
漏洞列表总览（逐条引用本报告中对应的漏洞详情段落）
「Trace 未闭合 / 待补证风险池」（强制）：汇总 trace_status ∈ {PARTIAL, UNRESOLVED} 的 route_id、阶段 2.5 sink_static_index 中尚未被 trace 闭合的条目、以及「扩展扫描」命中项；与「漏洞列表总览」并列，禁止因证据不足而删除记录（未闭合 ≠ 无风险）。
覆盖率：路由覆盖、鉴权覆盖、Sink 覆盖、关键分支覆盖（用“已完成/待补充”而非省略；建议阈值：路由覆盖与 Sink 覆盖 >= 90%）
框架特效审计汇总：如果存在 framework_audit/*.md，需要将其风险映射到统一类型码（AUTH/CSRF/TPL/XSS/SQL/LOGIC/CFG/SESS/SSRF/…），统计数量与最高严重等级，并在汇总中注明“框架风险来源于哪些 framework_audit 报告文件”
框架审计豁免说明：框架特效审计（Laravel/Symfony/WordPress/CodeIgniter/Yii2/ThinkPHP）属于“静态配置/模式匹配”型审计，其发现的风险不需要经过
php-route-tracer的 trace-gate 或## 9) Sink Evidence Type Checklist的证据校验。框架审计结果直接按其自身规则分级并映射到统一类型码即可。
证据完整度评分（Evidence Completeness）：对所有 trace-gate sink 类型（FILE/UPLOAD/WRITE/ARCHIVE/SSRF/SQL/NOSQL/CMD/XSS/REDIR/CRLF/XXE/DESER/TPL/LDAP/EXPR/AUTH/CSRF/SESS），按 shared/EVIDENCE_POINT_IDS.md 中定义的证据点 ID 集合进行计数：覆盖率% = 已满足证据点数 / 该类型所需证据点总数 × 100%；并在表格中列出缺失的证据点 ID（必须原样一致）与缺失原因（如 trace_status=PARTIAL/UNRESOLVED、证据点定位失败、参数不可控等）。
阶段 5.1：利用链聚合（强制）
php-exploit-chain-audit每条漏洞必须遵循以下结构（写入本次总报告的漏洞详情段落）：
### [{等级前缀}-{类型代码}-{序号}] {风险标题}
| 项目 | 信息 |
|------|------|
| 严重等级 | {🔴/🟠/🟡/🔵} (CVSS {score}) |
| 可达性 (R) | {0-3} - {理由} |
| 影响范围 (I) | {0-3} - {理由} |
| 利用复杂度 (C) | {0-3} - {理由} |
| 可利用性 | ✅ 已确认 / ⚠️ 待验证 / ❌ 不可利用 / 🔍 环境依赖 |
| 位置 | {文件路径}:{行号} ({函数/方法}) |
#### 数据流链（Source → Sink）
(按路由逐行写出赋值/传递/拼接/校验/分支，禁止省略)
{HTTP Method} {完整路径与查询/Body} HTTP/1.1
Host: {host}
{必要 Header/Session/JWT/Cookie}
{Payload}
## 说明文档（审计 READMEs）
必须在本次总报告内生成以下附录章节：
- 如何识别 PHP 路由与参数
- 如何识别会话/JWT 并审计鉴权链
- 如何结合 `shared/PHP_SINK_REFERENCE.md` 做按类型的 Sink 挖掘与 trace-gate 对齐
## 自检与质量保证（强制）
在标记完成前，必须回答并自检：
- [ ] 「子 skill / 审计面覆盖矩阵」是否已对对照表**每一行**给出已执行/不适用/已延期，且不适用与已延期均附触发依据或否定证据？
- [ ] 我是否按 `shared/PHP_SINK_REFERENCE.md` 与 trace 结果覆盖了常见高危类别（SQL/NOSQL/CMD/SSRF/XSS/FILE/UPLOAD/WRITE/ARCHIVE/XXE/DESER/TPL/AUTH/CSRF/REDIR/CRLF/SESS/CRYPTO/CFG/LOG/FS）？
- [ ] 我是否覆盖 LDAP/EXPR（或矩阵中「不适用」已附否定证据）？
- [ ] 每条漏洞是否都有数据流链与可利用前置条件？
- [ ] 是否没有任何省略写法？
- [ ] 是否没有任何未替换的模板占位符？
- [ ] **「Trace 未闭合 / 待补证风险池」**是否已列出所有 `PARTIAL/UNRESOLVED` 及 2.5 未闭合静态命中，且与漏洞列表无矛盾？
## 子 Skill 对照表（能力清单 + 矩阵对齐）
下表为**必须出现在「子 skill / 审计面覆盖矩阵」中的行清单**。阶段 3/4 按 trace-gate 与静态证据触发对应 skill；**未执行**的行须在矩阵中标记「不适用」或「已延期」并满足矩阵列要求（禁止空行、禁止无理由跳过）。
1. 路由/参数：`php-route-mapper`
2. 鉴权：`php-auth-audit`
3. 深度追踪：`php-route-tracer`（用于任何需要可控性/分支证据的场景）
4. 组件漏洞（供应链）：`php-vuln-scanner`
5. 利用链聚合：`php-exploit-chain-audit`（在阶段 5.1 强制调用）
6. 文件系统操作审计：`php-filesystem-audit`（在阶段 4 以静态证据驱动执行）
按漏洞类别调用：
- SQL 注入：`php-sql-audit`
- NoSQL 注入：`php-nosql-audit`
- 命令注入：`php-cmd-audit`
- SSRF：`php-ssrf-audit`
- XSS：`php-xss-audit`
- 模板注入/SSTI：`php-tpl-audit`
- LDAP 注入：`php-ldap-audit`
- 表达式注入（非模板）：`php-expr-audit`
- 任意文件读取/路径穿越：`php-file-read-audit`
- 文件上传：`php-file-upload-audit`
- 任意文件写入：`php-file-write-audit`
- 归档解压路径穿越/Zip Slip：`php-archive-extract-audit`
- XXE：`php-xxe-audit`
- 反序列化/对象注入：`php-deser-audit`
- 认证/鉴权绕过/越权/IDOR：`php-auth-audit`（与鉴权状态、资源归属一起落入汇总）
- CSRF：`php-csrf-audit`
- 开放重定向：`php-open-redirect-audit`
- CRLF/响应分割：`php-crlf-audit`
- 会话与 Cookie 安全：`php-session-cookie-audit`
- 加密与密钥安全：`php-crypto-audit`
- 安全配置（CORS/错误暴露/安全头/危险开关）：`php-config-audit`
- 业务逻辑漏洞（Mass Assignment/竞态/状态机/流程绕过）：`php-logic-audit`
- 安全日志与监控：`php-logging-audit`