# PHP 应用 security.txt 漏洞披露实践

大多数安全事件的起点不是天才攻击者，而是一个发现了问题、却不知道该如何报告的人。如果上报缺陷比发条推文还麻烦，客观上你就已经替他们选了公开披露。

与此同时，AI 让自动化安全测试达到了前所未有的规模。每一天，都有漏洞在某个角落被发现、被上报。

security.txt 解决的正是这个问题里最乏味的那部分：直接告诉发现者报告该发到哪。本文会介绍这个标准是什么、为什么降低报告门槛很重要、以及如何在 CakePHP 应用中一行代码接入一个永不过期的中间件。

## 问题：一扇没有门铃的锁着的门

站在安全研究人员的角度想想：你在某个站点上发现了一个暴露的端点，想做正确的事——私下报告。于是你开始找：

- 有没有 `/security` 页面？通常没有。
- 有没有 `security@` 邮箱？也许有，也许真有人在看。
- 有没有联系表单？消息限 500 字符，附件也吞掉。
- 去社交媒体上找那家公司？现在你是在公开场合讨论漏洞。

每撞上一次死胡同，要么报告者放弃，要么漏洞细节最终被公开。两种结果你都不想要。

## security.txt 是什么（RFC 9116）

security.txt 是 RFC 9116 "A File Format to Aid in Security Vulnerability Disclosure"（信息性标准，2022 年，Edwin Foudil 与 Yakov Shafranovich 编写）定义的一种纯文本小文件，在已知路径以 `text/plain` 格式通过 HTTPS 对外提供：

```
https://example.com/.well-known/security.txt
```

文件内部只有 `字段: 值` 这样的行。两个字段是必填的，其余选填：

| 字段 | 是否必需 | 用途 |
|------|----------|------|
| Contact | 是 | 联系方式：`https:` URL、`mailto:` 或 `tel:`。可按优先级重复出现。 |
| Expires | 是 | 文件数据不再受信任的时间点（ISO 8601 格式）。 |
| Encryption | 否 | 公钥获取地址，方便对报告进行加密。 |
| Policy | 否 | 披露策略链接。 |
| Acknowledgments | 否 | 过往报告者的荣誉榜。 |
| Preferred-Languages | 否 | 能阅读的语言，比如 `en`、`de`。 |
| Canonical | 否 | 本文件的规范 URL。 |
| Hiring | 否 | 安全相关岗位招聘。 |

实践中有两个点值得注意：

- 不同字段之间顺序不重要。只有一处例外：多条 Contact 行从上到下按优先级读取。
- Expires 是真正的坑。它必须是一个未来日期。两年前写好就丢在那儿的 security.txt，按规范已经过期——一份过期文件给人的信号是：这个团队对安全不上心。

为什么要有一个标准？安全研究人员不用再去猜你的组织架构。一条确定的路径，机器能读，人和扫描器都知道去那里查。

## 为什么重要：降低门槛，把人引到对的渠道

添加 security.txt 成本极低，收益至少有两条。

第一，降低摩擦。发现者越快抵达正确的收件箱，就越有可能完成报告——漏洞在他们翻找联系方式期间泄露的概率也就越低。你在堵上公开披露的借口。

第二，把人引到正确的渠道。这是很多团队不当回事的地方。"正确渠道"意味着私密、有人监控、预期明确：

- 一个私密的入口（专用邮箱或 GitHub 私密漏洞报告通道），不要用公开 Issue 区。
- 一份写清楚的 Policy，让报告者知道该期待什么：会不会给安全港？披露时间线？会不会致谢？
- 另一端有个真人，职责就是接收这些报告。

让这条路显而易见，你就能把一个 Twitter 零日危机变成一次安静的协同修复。核心就一句话：让审计和报告变简单，让简单的路成为安全的路。

## CakePHP 中间件：一个永不过期的实现

在 CakePHP 应用中同样想集成 security.txt，但放一个静态文件有 Expires 过期问题——得有人一直记得去更新那个日期。于是把它做成了 cakephp-setup 插件（3.21.0+）里一个轻量的 PSR-15 中间件。

在线示例：sandbox.dereuromark.de/.well-known/security.txt

下面几个设计选择让它用起来很顺手：

- 做成中间件，而不是路由。文件公开且格式固定，在路由和认证执行之前就能直接返回，不需要控制器、不需要路由配置、不需要认证例外。
- Expires 每次请求时重新计算。默认值是一年之后，所以它永远有效。维护的问题就这么没了。
- 配置用类型化的值对象。通过 SecurityTxt 对象来描述文档——具名参数、IDE 自动补全、类型检查——而不是丢一个松散的魔术字符串数组。
- Contact 强制必填。RFC 9116 要求有它，漏了就直接抛异常。配错在启动时就暴露，不用等到运行时悄悄坏掉。

在应用中间件栈里，一行代码接入：

```
use Setup\Middleware\SecurityTxt;
use Setup\Middleware\SecurityTxtMiddleware;

public function middleware(MiddlewareQueue $middlewareQueue): MiddlewareQueue
{
    $middlewareQueue->add(new SecurityTxtMiddleware(new SecurityTxt(
        contact: 'https://github.com/owner/repo/security/advisories/new',
        canonical: 'https://example.com/.well-known/security.txt',
        policy: 'https://github.com/owner/repo/security/policy',
        preferredLanguages: 'en, de',
    )));

    // ... the rest of your stack

    return $middlewareQueue;
}
```

它同时在 `/.well-known/security.txt` 和老的 `/security.txt` 两个路径返回如下内容，每次都带上最新的 Expires：

```
Contact: https://github.com/owner/repo/security/advisories/new
Policy: https://github.com/owner/repo/security/policy
Canonical: https://example.com/.well-known/security.txt
Preferred-Languages: en, de
Expires: 2027-05-23T00:00:00.000Z
```

其他细节：HEAD 请求只返回头部，不带响应体；路径匹配感知基础路径，子目录挂载的应用也能用；另外给值对象还没覆盖的字段留了原始数组兜底。

## 配合 SECURITY.md 使用

如果项目有公开的 Git 仓库，SECURITY.md 可以锦上添花。

security.txt 说的是报告发到哪，SECURITY.md 说的是怎么报、该期待什么。在 GitHub 上，SECURITY.md（放在仓库根目录、`.github/` 或 `docs/`）会在 `/security/policy` 渲染，并出现在仓库的 Security 选项卡里——正好是前面 Policy 字段指的那个地址。

两者互为补充：

- Contact 指向 GitHub 的私密漏洞报告通道，不是公开 Issue。
- Policy 指向 SECURITY.md，里面写着流程和时间线。

这样，扫描器和人类都会抵达同一个私密的、该去的地方。

## 今天就开始用

给公开应用加 security.txt，投入产出比极高。寥寥几行，就能告诉外界你愿意听问题。

- 读标准：RFC 9116
- 生成或校验文件：securitytxt.org
- CakePHP 用户：security.txt 中间件文档

让门好找，装上铃，铃响就接。

## 框架无关的中间件代码

这个 PSR-15 中间件很容易移植到任何兼容 PSR-15 的框架。需要的话复制粘贴进自己的生态就行（中间件 + DTO）。Response 类换成你实际用的实现，InstanceConfigTrait 也要调整。下面是一个尽量去框架化的版本：

```
<?php

declare(strict_types=1);

/**
 * Serves an RFC 9116 security.txt. Pure PSR-15 + PSR-17: it depends only on the
 * injected factories, so it runs in any compliant stack.
 *
 * The required `Expires` field is computed on every request, so it never goes
 * stale. `Contact` is required; constructing without one throws.
 */
class SecurityTxtMiddleware implements MiddlewareInterface
{
    /** @var array<string, string|array<string>> */
    private array $fields;

    private string $expiresInterval;

    public function __construct(
        SecurityTxt $document,
        private readonly ResponseFactoryInterface $responseFactory,
        private readonly StreamFactoryInterface $streamFactory,
        private readonly string $path = '/.well-known/security.txt',
        private readonly bool $serveRootFallback = true,
        private readonly int $cacheMaxAge = 86400, // 1 day; was CakePHP's DAY constant
    ) {
        $this->fields = $document->toFields();
        $this->expiresInterval = $document->expiresInterval;

        if (SecurityTxt::normalize($this->fields['Contact'] ?? null) === []) {
            throw new InvalidArgumentException(
                'SecurityTxtMiddleware requires at least one non-empty Contact field (RFC 9116).',
            );
        }
    }

    public function process(ServerRequestInterface $request, RequestHandlerInterface $handler): ResponseInterface
    {
        $method = $request->getMethod();
        if ($method !== 'GET' && $method !== 'HEAD') {
            return $handler->handle($request);
        }

        if (!$this->matches($this->relativePath($request))) {
            return $handler->handle($request);
        }

        $rendered = $this->render();

        $response = $this->responseFactory->createResponse()
            ->withHeader('Content-Type', 'text/plain; charset=utf-8')
            ->withHeader('Content-Length', (string)strlen($rendered)); // correct even for HEAD

        if ($this->cacheMaxAge > 0) {
            $response = $response->withHeader('Cache-Control', 'max-age=' . $this->cacheMaxAge);
        }

        // HEAD: same headers as GET, but no body.
        $body = $method === 'HEAD' ? '' : $rendered;

        return $response->withBody($this->streamFactory->createStream($body));
    }

    private function matches(string $path): bool
    {
        return $path === $this->path
            || ($this->serveRootFallback && $path === '/security.txt');
    }

    /**
     * Resolve the request path relative to the application base path. The `base`
     * attribute is set by some frameworks (e.g. CakePHP) for subdirectory installs;
     * elsewhere getAttribute() returns '' and this is a pure-PSR-7 no-op.
     */
    private function relativePath(ServerRequestInterface $request): string
    {
        $path = $request->getUri()->getPath();
        $base = (string)$request->getAttribute('base', '');
        if ($base !== '' && str_starts_with($path, $base)) {
            $path = substr($path, strlen($base));
        }

        return $path !== '' ? $path : '/';
    }

    private function render(): string
    {
        $lines = [];
        foreach (SecurityTxt::normalize($this->fields['Contact'] ?? null) as $contact) {
            $lines[] = 'Contact: ' . $contact;
        }
        foreach ($this->fields as $name => $value) {
            if ($name === 'Contact' || $name === 'Expires') {
                continue;
            }
            foreach (SecurityTxt::normalize($value) as $item) {
                $lines[] = $name . ': ' . $item;
            }
        }
        $lines[] = 'Expires: ' . $this->expires();

        return implode("\n", $lines) . "\n";
    }

    private function expires(): string
    {
        $timestamp = strtotime($this->expiresInterval) ?: strtotime('+1 year');

        return gmdate('Y-m-d\TH:i:s.000\Z', (int)$timestamp);
    }
}
```
[PHP 应用 security.txt 漏洞披露实践](https://catchadmin.com/post/2026-06/php-security-txt-vulnerability-disclosure)

大多数安全事件的起点不是天才攻击者，而是一个发现了问题、却不知道该如何报告的人。如果上报缺陷比发条推文还麻烦，客观上你就已经替他们选了公开披露。

PHP 应用 security.txt 漏洞披露实践

后端

编程语言

安全

通过security.txt标准简化PHP应用中的漏洞披露流程，降低安全研究人员的报告门槛。文章以CakePHP应用为例介绍如何实现永不过期的中间件方案，解决静态文件过期失效的痛点，让漏洞报告能直达正确渠道。包括RFC9116标准解读、配置实践及与SECURITY.md文件的协同使用，帮助开发者构建更友好的安全响应机制。

安全测试

中间件

路由

GitHub

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

通过security.txt标准简化PHP应用中的漏洞披露流程，降低安全研究人员的报告门槛。文章以CakePHP应用为例介绍如何实现永不过期的中间件方案，解决静态文件过期失效的痛点，让漏洞报告能直达正确渠道。包括RFC9116标准解读、配置实践及与SECURITY.md文件的协同使用，帮助开发者构建更友好的安全响应机制...

PHP 应用 security.txt 漏洞披露实践-腾讯云开发者社区-腾讯云

PHP 应用 security.txt 漏洞披露实践

PHP 应用 security.txt 漏洞披露实践

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐