PHP 遗留代码安全评审量表

十年前的模块要接入新系统，评审人手上有一个模块的代码和接入方案，本周要给出安全评分与整改优先级。

【评分维度】
1. 输入校验：外部参数是否全部经过校验与类型转换。
2. 权限控制：每个入口是否判断了操作者身份。
3. 数据访问：SQL 是否参数化，有没有拼接。
4. 输出编码：回显是否做了转义，日志是否脱敏。

【量表】
1. 每维 5 分：5 分合规，3 分有缺陷但不直接可利用。
2. 2 分及以下为高危，接入前必须整改。
3. 总分低于 15 分（满分 20）不予接入。

【评分理由】
1. 每个扣分点给出代码行与漏洞类型，不写推测。
2. 说明可利用条件：什么输入、从哪个入口进来。
3. 标注是历史遗留还是本次新增，区分责任。

【改进建议】
1. 高危项给出替换代码，能直接合并。
2. 按整改工作量排序，先改半天能完成的。
3. 给出接入前的验证清单，逐项可执行。