PHP 高危补丁应急演练台

给「一个人维护一堆老 PHP 项目」的开发者一套补丁前的体检与演练流程

痛点

公司只有一名技术，所有项目都跑在 PHP 7 上，官方提前预告了 CVSS 9.2 的紧急安全更新，社区里一片「今晚怎么办」的慌乱。老项目依赖多、升级路径不明，直接打补丁怕把线上打挂，不打又怕被扫成肉鸡，而且补丁一发布黑客就能从 diff 反推 POC，时间窗口极短。

方案

一个本地/自托管的检查工具：扫描项目依赖与框架版本，标出与 PHP 升级冲突的扩展和废弃 API，生成分阶段升级计划（先容器试跑再灰度），并提供一份预置的升级前检查清单与回滚脚本模板；补丁日当天按清单逐项打勾执行。

用户

中小公司里独自维护遗留 PHP 项目的开发者，以及接外包维保的独立开发者

MVP

读取 composer.json/composer.lock 与 php -v 输出做兼容性风险标注；生成按风险排序的升级步骤清单；提供 Docker 试跑脚本模板；一键生成回滚与备份检查表；支持保存历史执行记录

变现

免费 CLI 加付费 Web 报告与团队模板包；或按项目数订阅，面向外包维保公司卖团队席位

为何现在

PHP 官方罕见地提前预告重大安全版本，遗留 PHP 系统的维护者是长期被忽视的群体；兼容性规则和清单可逐步沉淀，不需要大模型或大算力