PHP代码审计工具

一个基于静态字节码、带污点追踪的 PHP 代码审计工具。

把 PHP 源码（或整份文件）丢进来，服务端用 tree-sitter-php 解析出调用与操作数的静态性（哪些参数在运行期不可控），再套用 77 条规则给出告警：动态函数调用、动态代码执行、动态包含、可控文件名等。

告警只说明「可疑」，能否真正利用仍需人工确认 —— 静态分析看不到运行期的数据来源。