PHP 一站式安全平台

在别人发现之前，先堵住漏洞。

为 PHP 团队打造的安全诊断平台：静态代码分析、响应头评级与 php.ini 审计一站完成。代码仅在内存中分析，绝不保存。

开源 · MIT 许可证在 GitHub 查看源代码 →

实时

5次代码扫描

15个问题被发现

64个网站被评估

<?php
// login.php
$stmt = $db->prepare('SELECT * FROM users WHERE name = ?');
$stmt->execute([$_POST['user']]);

✓ 0 个问题 · 等级 A+

A+ 本站安全等级 每日用响应头检测自动检查 · 亲自验证 →

18安全检测规则 v0.1.0最新版本 ✓ 测试通过 自动化测试 MIT开源许可证

PHP Safe 自主开发

从代码到服务器配置的三项安全诊断

选择工具，粘贴内容，点击按钮即可。代码仅在内存中分析，绝不保存。

1粘贴代码或网址
2运行检测
3按行修复发现的问题

粘贴 PHP 文件或代码片段。我们使用 PHP 自带的分词器读取，并逐行指出风险及修复方法。

代码扫描器

静态分析可发现常见模式，但无法找出所有漏洞。请结合代码审查和下方工具使用。

结果将显示在这里。

我们的开源项目

PHP Safe Guard v0.1.0 已发布

适用于任何 PHP 应用的零依赖安全层。一行安装，以 MIT 许可证在 GitHub 开源。

在 GitHub 查看

每项检测都基于公开可读的代码。

Guard 是额外的防线，不能替代预处理语句、输出转义和及时更新 PHP 等基本功。

# composer
composer require phpsafe/guard

; php.ini — protect every request
auto_prepend_file = /path/to/vendor/phpsafe/guard/shield.php

Shield

在代码运行前拦截 SQL 注入、XSS、路径穿越和恶意上传，并添加安全响应头、限制登录频率。

Scanner CLI

与在线扫描器相同的引擎，在本地运行。扫描整个项目，发现风险代码时让 CI 失败。

Helpers

用于 CSRF 令牌、输出转义和安全文件上传的小巧可靠函数。

社区代币

$PHPSAFE，Solana 实时行情

PHP Safe 的社区代币。市场数据每分钟直接从链上自动刷新。

$PHPSAFE Solanapump.fun

价格 USD

—

市值—

24小时成交额—

24小时交易 —

买入 —卖出 —

正在加载市场数据…

数据来源：DEX Screener · pump.fun

Pump.fun ↗ DEX Screener ↗ 𝕏 社区分享到 𝕏

仅供参考，不构成投资建议。加密资产波动极大。交易前请务必核对上方的官方合约地址。

路线图

公开开发。接下来是这些。

所有功能均以 MIT 许可证开源发布。告诉我们你需要什么，呼声最高的功能会优先开发。

已发布6

✓代码扫描18 条规则及修复方法
✓响应头检测评级、TLS 与证书
✓php.ini 审计危险的服务器配置
✓PHP Safe Guard v0.1CLI、Shield 与辅助工具
✓安全规则库附 CWE 与 OWASP 编号
✓等级徽章在任何网站展示你的 A

开发中2

CI进行中

GitHub Action

每次 push 和 PR 自动扫描。问题直接标注在代码差异上，等级不达标可阻止合并。

Guard进行中

Guard v0.2

更多规则、用于 GitHub 代码扫描的 SARIF 报告，以及忽略已知问题的基线文件。

即将推出2

Site

依赖漏洞检查

上传 composer.lock，即可查看哪些包存在已知安全公告，以及修复版本。

Site

网站监控

每天自动复查。等级下降或证书即将过期时发送邮件提醒。

规划中3

Guard

Laravel 与 WordPress

针对 Blade、Eloquent、wpdb 与插件的专用规则

Editor

VS Code 扩展

编写代码时即时标出风险行

Site

公开 API

在你自己的工具与仪表盘中运行检测

有想法？请在 GitHub 提交 issue，每条建议我们都会查看。

提出功能建议 → Star 关注进展在 𝕏 关注

使用方法

五步保护你的 PHP 应用

01
掌握基础
通过下方清单了解常见攻击与防御方法。
02
扫描代码
每次上线前运行代码扫描器。
03
锁定依赖
阻止安装有已知漏洞的包。
04
加固服务器
修正 php.ini，在响应头检测中拿到 A。
05
加上护盾
在应用前部署 PHP Safe Guard 和 WAF。

PHP 安全规则 · 18 条规则 →

上线前必查

PHP 安全检查清单

完成一项勾选一项，进度仅保存在当前浏览器。

0 / 8

所有查询都使用预处理语句

$stmt = $pdo->prepare('SELECT * FROM users WHERE id = ?');
$stmt->execute([$id]);

用 password_hash() 哈希密码

$hash = password_hash($pw, PASSWORD_DEFAULT);
password_verify($pw, $hash);

输出前全部转义

echo htmlspecialchars($name, ENT_QUOTES, 'UTF-8');

表单加入 CSRF 令牌

$_SESSION['csrf'] = bin2hex(random_bytes(32));
hash_equals($_SESSION['csrf'], $_POST['csrf']);

按内容而非文件名校验上传

$type = (new finfo(FILEINFO_MIME_TYPE))->file($tmp);
// allow only image/png, image/jpeg

加固会话 Cookie

session_set_cookie_params([
  'secure' => true, 'httponly' => true, 'samesite' => 'Lax'
]);

生产环境隐藏错误详情

; php.ini
display_errors = Off
log_errors = On

每次发布都审计依赖

composer audit

复制即用

快速上手命令

安装 PHP Safe Guardcomposer require phpsafe/guard

扫描整个项目vendor/bin/phpsafe scan src

在 CI 中阻止风险代码vendor/bin/phpsafe scan src --fail-on=high

启用 Shield（php.ini）auto_prepend_file = /path/to/vendor/phpsafe/guard/shield.php

审计依赖composer audit

在别人发现之前，先堵住漏洞。

从代码到服务器配置的三项安全诊断

PHP Safe Guard v0.1.0 已发布

Shield

Scanner CLI

Helpers

$PHPSAFE，Solana 实时行情

公开开发。接下来是这些。

已发布6

开发中2

GitHub Action

Guard v0.2

即将推出2

依赖漏洞检查

网站监控

规划中3

Laravel 与 WordPress

VS Code 扩展

公开 API

五步保护你的 PHP 应用

掌握基础

扫描代码

锁定依赖

加固服务器

加上护盾

PHP 安全检查清单

快速上手命令