Ein einziges „SELECT ... WHERE id = $id“ oder echo $_GET['q'] reicht aus, damit jemand deine Datenbank auslesen oder die Sitzungen deiner Nutzer übernehmen kann. Dieser Skill findet diese und zwölf weitere PHP-Sicherheitsfehler vor dem Deployment und erklärt, wie du sie behebst.

Dein Agent führt einen Scanner für deine .php-Dateien aus. Er liest nur Code innerhalb von PHP-Tags, überspringt Kommentare, versteht Anführungszeichen und Heredocs und verfolgt in Variablen aufgebaute Abfragen oder Befehle (auch mit .=) bis zum ausführenden Aufruf. Außerdem verfolgt er Anfragewerte ($_GET, $_POST, $_COOKIE, Namen hochgeladener Dateien, $request->input()) durch Variablen. Er erkennt sichere Muster: Platzhalter und $wpdb->prepare(), (int)-Umwandlungen, escapeshellarg(), htmlspecialchars() und esc_html(), basename(). PHP wird dabei nie ausgeführt. Er liefert BLOCK, REVIEW oder NOT FLAGGED mit Datei, Zeile, Begründung und einer sichereren Lösung. Geheimnisse werden niemals ausgegeben.

Was geprüft wird

BLOCK (vor der Veröffentlichung beheben)

• P01: aus Variablen zusammengesetztes SQL, ausgeführt mit mysqli_query, PDO, $wpdb oder rohen Laravel-Abfragen

• P02: exec, system, shell_exec oder Backticks mit nicht maskierten Werten

• P03: eval, create_function oder preg_replace /e

• P04: include oder require mit einem Pfad aus der Anfrage

• P05: unserialize auf Anfrage- oder Cookie-Daten

• P06: fest hinterlegtes Passwort, API-Schlüssel oder Token (Variablen, define, Konfigurationsarrays, env()-Standardwerte, Verbindungsaufrufe)

• P07: Anfragewerte, die mit echo, print oder <?= ohne Maskierung ausgegeben werden (XSS)

REVIEW (vor der Veröffentlichung prüfen)

• P11: md5, sha1 oder crypt für Passwörter

• P12: deaktivierte TLS-Zertifikatsprüfung (cURL, Guzzle, Stream-Kontexte)

• P13: aktiviertes display_errors oder phpinfo()

• P14: Weiterleitungen an eine URL aus der Anfrage

• P15: rand, mt_rand oder uniqid für Tokens, Einmalpasswörter und Rücksetzcodes

• P16: extract($_POST) oder parse_str mit einem Argument

• P17: Dateipfade aus der Anfrage oder der ursprüngliche Name einer hochgeladenen Datei

Das ist enthalten

• Der Scanner (Python 3.9+, nur Standardbibliothek)

• Ein Regelhandbuch mit Begründung und sichererer Lösung für jede Regel

• Ein unsicheres und ein sicheres Beispielprojekt sowie der tatsächliche Scannerbericht zum unsicheren Projekt

Grenzen

Der Scanner liest Code als Text und ist kein vollständiger PHP-Parser: Werte werden innerhalb einer Datei in Dateireihenfolge verfolgt, nicht über Funktionen oder eingebundene Dateien hinweg. Templates (Blade, Twig) und Fremdcode werden nicht geprüft. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 16 Dateien: SKILL.md, der Scanner in scripts/ (3 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererer Lösung) und examples/ (10 Beispieldateien sowie report.md mit der tatsächlichen Scannerausgabe zum unsicheren Beispiel).

So verwendest du den Skill: Dies ist ein Agenten-Skill: ein Ordner mit einer SKILL.md-Datei und Python-Skripten, die ein KI-Programmieragent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacke ihn in den Skills-Ordner deines Agenten (bei Claude Code: ~/.claude/skills/). Bitte deinen Agenten anschließend, dein Projekt zu prüfen. Die Skripte lassen sich auch eigenständig mit Python 3.9 oder neuer ausführen, ohne zusätzliche Installation. Sie lesen lediglich deine Dateien: kein Netzwerkzugriff und keine Datenübertragung.