科技资讯
一条“人手不够”的采访，值得技术负责人停下来
本周 PHP 曝出两处高危漏洞，运维团队连夜打补丁。几乎同一时间，PHP 基金会执行董事 Elizabeth Barron 在邮件采访里给出了一组很不对等的数字：基金会全职员工只有她一人，另有十四名以兼职为主的外包人员，董事会成员不领薪，运营资金依靠捐赠与资助【1】。
另一头，据估算全球最高约七成网站跑在 PHP 上【1】。需求端是“七成网站”，供给端是“1 个全职”。这不是一条供人感慨的公益新闻，而是一份关于开源供应链的风险说明书。
古令乐的判断是：多数企业改变不了上游的人力结构，但可以改变自己的暴露方式。下面这份清单按“资产层—响应层—治理层”三层排，共 10 条，每条只回答两个问题：为什么查、具体怎么动。可以直接拿去开一次两小时的技术委员会。
一、资产层：先知道自己站在哪
1. PHP 运行时到底有多少套
原因：上游响应资源有限时，企业自救速度直接决定损失面【1】；而现实中容易漏掉的往往不是主站，是活动页、老客户独立站、外包交付的后台。
行动：让运维按“域名 + 主机 + 流量”三张表交叉比对，输出一份 PHP 应用台账，标注负责人、版本、能否下线。首版允许不全，但每一项必须有认领人。
2. 有多少套已经过了生命周期
原因：老版本拿不到官方修复，等于把风险长期留在内网；而升级的阻力通常在框架与插件，不在语言本身。
行动：把台账按“仍在维护 / 已停止维护”分两栏，停维的给出三条路——升级、网络层隔离、下线，并写明日期与责任人，别只写“计划中”。
3. 依赖清单能不能十分钟内答出来
原因：PHP 生态覆盖面广，同名组件会在大量系统中同时出现，靠记忆对不上账【1】。
行动：先用工具从运行时导出实际加载的依赖，纳入构建流程。目标不是一次做全，而是漏洞公告出现后十分钟内能回答“用没用、用在哪、什么版本”。
二、响应层：漏洞公开后的 72 小时
4. 高危补丁有没有时限和临时缓解
原因：此次修复补丁由基金会与外部研究机构、企业协作完成，Cloudflare 称已监测到数百万次攻击尝试【2】。攻击是自动化的，抢的就是企业的时间差。
行动：按等级约定时限；高危先上临时缓解（WAF 规则、限制入口、关闭受影响功能），再排版本升级，并写清谁批准、谁执行、谁验证。
5. 情报来源是不是一手的
原因：基金会表示没有证据显示漏洞在公开前被利用，已修复系统也未反馈异常【2】。这能缓解恐慌，但替代不了预警机制。
行动：订阅官方安全公告、发行版与主流框架的安全通告，指定一人转成内部工单并跟踪闭环。社媒转发只能当线索，不能当依据。
6. 打完补丁有没有做验证
原因：补丁装完不等于风险关闭，老系统常出现“升级成功但功能降级”“补丁被自定义代码绕过”。
行动：为高危修复准备一份回归清单：受影响接口、关键业务链路、日志异常指标。修复后 24 小时内复核一次并留存证据。
三、治理层：把偶发事件变成制度
7. 外包与代建合同的安全条款
原因：基金会自身都高度依赖兼职与外包人员【1】，企业侧的外包比例只会更高。响应时常见的僵局是“合同没写”。
行动：给在建与已交付合同补三条：漏洞通知义务与时限、补丁配合义务、系统交接（代码与数据）。历史合同用补充协议覆盖。
8. 关键系统有没有第二个人能接手
原因：上游是“1 名全职 + 兼职团队”的结构【1】。反过来问自己：唯一熟悉那套老系统的工程师休假，谁能部署和回滚？
行动：做一次巴士因子检查，核心系统至少两人能完成部署与回滚；把步骤写成可执行文档，而不是留在个人笔记里。
9. AI 提效之后，评审容量跟不跟得上
原因：这批潜伏多年的漏洞借助 AI 被发现，同时基金会收到的代码修改提案接近一年前的两倍，可贡献者人数并没有同步翻倍【3】。审核依赖经验判断，是稀缺环节。
行动：内部逻辑同样成立。给评审设优先级与上限，安全相关改动单独走通道；不要把“AI 提效”当成压缩评审人手的理由。
10. 有没有为上游留出预算或人力
原因：基金会资金来自捐赠与资助【1】。开源不是零成本，只是成本被转移给了不特定的人。
行动：三选一即可起步——资助特定安全改进、派工程师参与上游审查、赞助社区。形成年度惯例并留痕，比一次性大额更有价值。
落地节奏：两周、一个季度、一年
不必十条一起上。两周内先做第 1、4、8 条，成本较低、见效较快，也容易暴露真问题；一个季度内补第 2、3、7 条，涉及升级路线与合同条款；第 5、6、9、10 条属于机制与投入，纳入年度技术规划更现实。
三个容易走偏的地方
一，把 WAF 当补丁。缓解措施能争取时间，但替代不了修复。二，把开源当免费。省下的维护成本，最终会以别的方式回来【1】。三，把 AI 当人力。工具放大产出的同时，也放大了待审核的存量【3】。
对技术负责人来说，这份清单还回答了一个更实际的问题：预算该往哪加。答案常常不是再买一套安全产品，而是把资产台账、升级通道和人员备份这三件不起眼的事做扎实。
参考文献
【1】PHP 基金会负责人坦言资金不足：仅 1 名全职员工 — https://www.ithome.com/1/017/528.htm（基金会全职人数、外包与董事会构成、资金来源、PHP 网站占比估算部分）
【2】同上 — https://www.ithome.com/1/017/528.htm（漏洞修复协作方、Cloudflare 监测到的攻击尝试、公开前未被利用的表态部分）
【3】同上 — https://www.ithome.com/1/017/528.htm（漏洞借助 AI 被发现、代码修改提案数量接近一年前两倍、可贡献者未同步增长部分）
编辑注：本文基于上述来源的二次解读，清单条目、判断与行动建议均为古令乐编辑原创归纳，不代表原媒体观点。
