CentOS 下的 PHP 代码审查实践

一 工具选型与定位

• 规范与风格：使用 PHP_CodeSniffer（phpcs） 统一团队编码规范（如 PSR-12），快速发现命名、缩进、行宽等问题。
• 复杂度与异味：使用 PHPMD 检查过长方法、过多参数、重复代码、未用变量等“代码异味”。
• 类型与潜在缺陷：使用 PHPStan（可配合 Psalm）做静态分析，发现未定义变量、类型不匹配、不可达代码等深层问题。
• 安全审计：结合 RIPS 等自动化安全审计工具定位 SQL 注入、XSS、文件包含 等常见漏洞，作为人工审查的重要辅助。
• 持续集成：将上述检查接入 GitLab CI/CD 或 Jenkins，形成“提交即检查”的自动化门禁，提升交付质量与效率。

二 本地开发环境快速配置

• 安装 PHP 与扩展（示例）：
  sudo yum install -y php php-cli php-fpm php-mysql php-xml php-json
• 安装全局工具（Composer）：
  composer global require “squizlabs/php_codesniffer="
  composer global require "phpmd/phpmd=”
  composer global require “phpstan/phpstan=*”
• 在 PhpStorm 中启用检查：
  • 配置 PHP 解释器：File → Settings → Languages & Frameworks → PHP（常见路径 /usr/bin/php）。
  • 配置 phpcs/phpmd：Languages & Frameworks → PHP → Code Sniffer / Quality Tools → PHP Mess Detector，选择可执行文件路径（通常在 ~/.composer/vendor/bin/），点击 Validate。
  • 开启检查：Editor → Inspections → PHP 勾选 PHP Code Sniffer validation，按需选择规则集（如 PSR-12）；可在 Tools → File Watchers 配置保存时自动检查。
  • 一键全量审查：Code → Inspect Code，选择范围并执行，结果在 Inspection Results 面板查看与修复。

三 命令行批量检查与典型用法

• 语法检查（快速排除语法错误）：
  find . -name “*.php” -print0 | xargs -0 -n1 -P4 php -l
• 编码规范（phpcs）：
  phpcs --standard=PSR12 app/

  或指定报告格式

  phpcs --standard=PSR12 --report=checkstyle app/ > checkstyle.xml
• 代码异味（phpmd）：
  phpmd app/ text cleancode,codesize,unusedcode,naming
• 静态分析（phpstan）：
  phpstan analyse --level=8 app/
• 建议将以上命令写入项目的 Makefile 或脚本，便于统一执行与 CI 复用。

四 安全审计要点与自动化工具

• 重点风险面：
  • SQL 注入：排查将用户输入直接拼接到 SQL 的场景，优先使用 参数化查询/预处理语句。
  • XSS：排查将用户输入直接输出到 HTML 的场景，使用 htmlspecialchars($input, ENT_QUOTES, ‘UTF-8’) 转义。
  • 文件包含：禁止用户可控路径进入 include/require，限定白名单目录并做路径规范化校验。
• 自动化辅助：部署 RIPS 对源码进行静态安全扫描，识别 SQLi、XSS、文件包含、命令执行 等漏洞，生成报告后由人工复核确认。

五 在 CI 中落地代码审查

• GitLab CI 示例（.gitlab-ci.yml 片段）：
  image: php:8.1
  stages:
  • lint
  • test
    lint:
    stage: lint
    script:
    • composer install --prefer-dist --no-interaction --optimize-autoloader
    • vendor/bin/phpcs --standard=PSR12 app
    • vendor/bin/phpstan analyse --level=8 app
      test:
      stage: test
      script:
    • vendor/bin/phpunit --configuration phpunit.xml.dist
• 要点：将 phpcs/phpstan 放在早期 lint 阶段，失败则阻断合并；测试阶段运行 PHPUnit 保障功能正确性。