在用4.0.4版本或者计划用但怕有问题的也可以跑一下（老站记得备份下），跑完以后再让ai根据跑出来的task.md修复。
很简单，选择源码目录作为项目文件后发送下边的指令就可以。
# 任务：XiunoX 上线前代码审计（生成任务文件）
## 角色设定
你是一位资深 PHP 安全审计专家，熟悉论坛系统常见漏洞、PHP 8 特性、XSS/SQL 注入/权限越权等安全风险。
## 项目背景
XiunoX 是基于 Xiuno BBS 4.0.4 重构的轻量论坛系统，技术栈为 PHP 8.0+、MySQL 8.0+、Bootstrap 5.3、HTMX、TinyMCE 7。项目即将上线，现需对全部代码进行系统性安全审计，并按问题类型生成独立任务文件。
## 审计原则
1. **先分析，不修改**：本轮仅输出审计任务文件，不修改任何代码。
2. **灵活判断**：如果某个变量你无法确定来源，标注"待人工确认"。
3. **区分上下文**：根据输出位置（文本节点、HTML属性、JS环境、URL）采用不同的判断标准。
4. **结合实际**：如果某个输出已在项目中被转义函数包裹（如 `e()`、`_e()`、`htmlspecialchars()`），确认其实现正确后标注为"安全"。
## 任务输出要求
按问题类型生成独立的审计任务文件，每个任务包含：
- `task.md`：任务概述、背景、目标、检查范围
- `spec.md`：详细的检查规则和判断标准（分条目列出）
- `findings.md`：该任务发现的具体问题清单（文件路径 + 行号 + 问题描述 + 修复建议）
- `fix-guide.md`：通用修复方案和代码示例
**注意**：只输出任务文件内容，不需要输出目录结构示意。
---
## 审计任务清单（高优先级，必须在上线前完成）
### 任务 01：XSS 防护（模板层）
**spec.md 检查规则：**
1. 扫描 `/view/htm/` 下所有 `.htm` 文件（含 `admin/` 子目录），找出所有 `` 和 `` 输出。
2. 判断是否使用了 `htmlspecialchars()` 或项目的自定义转义函数（如 `e()`、`_e()`、`safe()`）。
3. 检查 HTML 属性中的输出（`value=""`）是否转义了引号（需使用 `ENT_QUOTES`）。
4. 检查 `` 标签内的输出是否使用了 `json_encode()`。
5. 检查富文本内容（帖子正文、公告内容）是否使用了 HTMLPurifier 过滤。
6. 不需要转义的情况：纯数字 ID、系统常量、已过滤的富文本，标注为"安全"。
7. 对于无法确认来源的变量，标注"待人工确认"。
### 任务 02：SQL 注入防护
**spec.md 检查规则：**
1. 扫描 `/model/`、`/service/`、`/route/` 目录下所有 PHP 文件。
2. 识别字符串拼接的 SQL（如 `"SELECT * FROM user WHERE id=" . $id` 或 `"WHERE uid=$uid"`），标注为**高危**。
3. 识别是否使用了参数化查询（PDO prepare / bind）。
4. 检查 `ORDER BY`、`GROUP BY`、`LIMIT` 等动态字段是否做了白名单验证。
5. 检查 `db_find()`、`db_query()` 等封装函数是否正确使用了参数绑定。
6. 对于使用 `quote()` 或 `escape()` 的地方，确认其实现是否安全。
### 任务 03：权限与越权控制
**spec.md 检查规则：**
1. 扫描 `/admin/` 目录下所有 PHP 文件，检查开头是否验证了管理员身份（`$groupid == 1` 或 `is_admin()`）。
2. 扫描 `/api/` 目录下所有 PHP 文件，检查是否验证了 Token 或 Session。
3. 扫描 `/route/` 目录，检查删除、修改、移动等操作是否验证了当前用户对资源的所有权（如 `$thread['uid'] == $uid` 或调用权限服务）。
4. 检查是否存在直接通过 `$_GET['tid']` 操作资源而未做权限判断的情况。
5. 对于管理员后台的敏感操作（删除用户、修改配置），检查是否有 CSRF Token 或二次密码验证。
### 任务 04：CSRF 防护
**spec.md 检查规则：**
1. 扫描 `/view/htm/` 下所有包含 `<form>` 的模板文件。
2. 检查每个 POST 表单是否包含 CSRF Token 隐藏字段。
3. 检查每个 POST 请求处理入口是否验证了 Token 与 Session 匹配。
4. 对于 AJAX 请求（HTMX 或 fetch），检查是否在 Header 中传递了 Token。
5. 对于 GET 请求的修改操作（如果有），应标注为"需改为 POST + CSRF"。
### 任务 05：会话安全
**spec.md 检查规则：**
1. 检查登录成功后是否调用了 `session_regenerate_id(true)`。
2. 检查 `session.cookie_httponly` 是否为 1。
3. 检查生产环境是否启用了 `session.cookie_secure`（仅在 HTTPS 下）。
4. 检查登录失败是否有次数限制（防暴力破解）。
5. 检查 Session 中是否存储了敏感信息（如明文密码）。
### 任务 06：文件上传安全
**spec.md 检查规则：**
1. 检查附件上传是否验证了文件的真实 MIME 类型（`finfo_file()` 或 `mime_content_type()`），而非仅依赖扩展名。
2. 检查文件上传后是否重命名为随机名（如 `md5(uniqid())`）。
3. 检查上传目录（如 `/upload/`）是否配置了禁止执行 PHP（`.htaccess` 或 Nginx 配置）。
4. 检查是否限制了上传文件大小和上传频率。
5. 检查图片上传后是否进行了重采样（防止隐藏代码在 EXIF 中）。
### 任务 07：业务逻辑安全
**spec.md 检查规则：**
1. **发帖/回帖频率限制**：是否存在同一用户短时间大量发帖的防护。
2. **积分/金币操作**：积分增加/扣减是否有原子性操作（防止并发刷分）。
3. **密码重置流程**：重置链接是否包含不可猜测的 Token，是否设置了有效期。
4. **私信/通知**：用户是否能向自己发送私信、是否能向不存在的用户发送。
5. **搜索功能**：搜索关键词是否有长度限制，是否过滤了特殊字符。
6. **验证码**：验证码是否有有效期，是否在使用后立即失效。
### 任务 08：插件兼容性
**spec.md 检查规则：**
1. 检查原有 Hook 点是否全部保留（如 `post_start`、`thread_create_end`）。
2. 检查 Overwrite 机制是否可用（插件是否仍能覆盖核心文件）。
3. 列出所有破坏性变更（函数签名修改、类名变更、数据库字段变更）。
4. 为每个破坏性变更生成迁移指南（旧写法 → 新写法）。
5. 检查插件目录结构是否保持兼容。
### 任务 09：备份与恢复
**spec.md 检查规则：**
1. 检查升级脚本（`upgrade.php`）是否在升级前自动备份数据库。
2. 检查升级脚本是否备份了配置文件（`conf/conf.php`）。
3. 检查是否有回滚方案（如 `rollback.sh`）或一键恢复脚本。
4. 检查备份文件是否存储在 Web 根目录之外。
### 任务 10：输入验证
**spec.md 检查规则：**
1. 检查所有 `$_GET`、`$_POST`、`$_REQUEST` 参数是否进行了类型校验（如 `intval($id)`）。
2. 检查邮箱字段是否验证了格式（`filter_var($email, FILTER_VALIDATE_EMAIL)`）。
3. 检查 URL 字段是否验证了格式（`filter_var($url, FILTER_VALIDATE_URL)`）。
4. 检查用户名、版块名等是否有长度限制。
5. 检查文件包含路径（如 `include($_GET['route'])`）是否使用了白名单。
---
## 审计任务清单（中优先级，上线后可迭代修复）
### 任务 11：日志与监控
**spec.md 检查规则：**
1. 检查关键操作（登录、发帖、删除、管理员操作）是否记录了日志。
2. 检查日志是否包含敏感信息（密码、Token、IP 地址需脱敏）。
3. 检查错误日志是否配置了合理的保留策略（避免磁盘占满）。
4. 检查是否有可查看日志的后台界面（供管理员排查问题）。
### 任务 12：API 安全
**spec.md 检查规则：**
1. 检查 API 是否实施了速率限制（Rate Limiting），防止滥用。
2. 检查 API 是否限制了请求体大小（防止超大请求攻击）。
3. 检查 API 是否正确配置了 CORS（跨域资源共享）。
4. 检查 API 是否返回了敏感错误信息（如 SQL 错误、文件路径）。
5. 检查 API 是否使用了 HTTPS-only 的 Cookie 和 Secure 标志。
### 任务 13：部署与配置
**spec.md 检查规则：**
1. 检查 `display_errors` 是否在生产环境关闭。
2. 检查配置文件（`conf/conf.php` 或 `.env`）是否在 Web 根目录之外。
3. 检查目录权限是否合理（`upload/` 和 `tmp/` 可写，`route/` 和 `service/` 只读）。
4. 检查是否存在硬编码的 `http://localhost` 或 `127.0.0.1`。
5. 检查 `date_default_timezone_set()` 是否设置了正确的时区。
### 任务 14：第三方库与前端 CDN 版本检测
**spec.md 检查规则：**
1. 扫描 `/view/htm/` 下所有模板文件，提取所有 CDN 资源链接（如 Bootstrap、HTMX、TinyMCE、FontAwesome、jQuery 等）。
2. 检查每个 CDN 资源是否指定了具体版本号（如 `[email protected]`），而非 `latest`。
3. 检查是否有过时版本（如 jQuery < 3.5、Bootstrap < 4.5、TinyMCE < 6）。
4. 检查 CDN 资源是否使用 `integrity` 属性（SRI 校验）。
5. 检查 `/static/` 目录下是否有被模板引用但版本过旧或存在已知漏洞的库。
6. 输出表格：资源名称、当前版本、建议版本、状态（安全/需升级/需替换）。
7. 不检查 Composer 包的已知漏洞。
### 任务 15：兼容性
**spec.md 检查规则：**
1. 检查是否使用了 PHP 8.0 以下不支持的函数（如 `each()`、`create_function()`）。
2. 检查是否使用了 PHP 8.0 已废弃的函数。
3. 检查数据库连接是否支持 MySQL 8.0 的默认认证插件（caching_sha2_password）。
4. 检查模板是否在移动端正常显示（媒体断点是否完整）。
5. 检查是否兼容主流浏览器（Chrome、Firefox、Safari、Edge 最新两个版本）。
### 任务 16：代码规范
**spec.md 检查规则：**
1. 检查是否遵循 PSR-12 编码规范（缩进、命名、括号位置）。
2. 检查所有类和方法是否有 DocBlock 注释（`@param`、`@return`、`@throws`）。
3. 检查是否存在超过 500 行的超大文件（建议拆分）。
4. 检查是否存在未使用的 `use` 语句或全局函数。
