PHP 設定セキュリティ監査（php-config-audit）

PHP プロジェクトの設定とランタイム設定を分析し、セキュリティ関連の設定上の欠陥を検出します。

• CORS の過度な許可（すべてのオリジンを許可、不適切な credentials の組み合わせ）
• エラーとデバッグ情報の露出（display_errors、デバッグモード、スタックの非表示不足）
• セキュリティ応答ヘッダーの欠落（CSP、X-Frame-Options/Frame-Options、Referrer-Policy、HSTS など）
• 危険な PHP/ランタイムスイッチ（allow_url_include、file_uploads など、ビジネスと連携する危険な組み合わせ）
• アップロード/ダウンロードディレクトリのアクセス可能/実行可能属性（設定から推測できる場合は証拠を出力）

分類と番号付け

• 詳細については、shared/SEVERITY_RATING.md を参照してください。
• 脆弱性番号：{C/H/M/L}-CFG-{連番}

必須の証拠（強制）

各問題について、証拠パスを提示する必要があります。

• 設定ファイル/環境変数の場所（例：.env、config/*.php/yaml、php.ini、Dockerfile/entrypoint）
• ランタイム設定コードの場所（ini_set、set_exception_handler、応答ヘッダーミドルウェア）
• 影響点：どのルート/応答がこの設定の影響を受けるか（少なくとも 1 つの入力/応答チェーンに関連付ける必要があります）

悪用可能性と前提条件（強制）

• エラーの露出：機密情報が漏洩し、攻撃者に悪用される可能性があるか（例：任意のファイル読み取り/SQLi と組み合わせて昇格）
• CORS：被害者のブラウザシナリオと credentials の組み合わせが存在するか
• セキュリティヘッダーの欠落：XSS/クリックジャッキングと連鎖的に悪用できるか

PoC（強制）

観測可能な PoC（例：curl -i）またはリクエスト手順を提示する必要があります。

• 実際のルートで応答をトリガーする
• 欠落または誤った応答ヘッダーまたはスタック出力の証拠を示す

証拠の引用（強制：静的証拠を優先、トレースはオプションの強化）

CFG は非トレースゲートカテゴリです：設定セキュリティ監査は、静的な設定ファイル/コードの証拠を主な根拠とし、php-route-tracer のトレースゲートや ## 9) Sink Evidence Type Checklist を前提条件のハードルとはしません。トレース出力に CFG 行の証拠が存在する場合は、強化された引用として使用できます。

各設定セキュリティの疑わしいリスクについて、以下の証拠を提示する必要があります（ソースは静的コード/設定ファイル、トレースは強化として使用可能）。

1. EVID_CFG_CONFIG_LOCATION：設定ファイル/環境変数の場所の証拠（例：.env、config/*.php/yaml、php.ini、Dockerfile/entrypoint）
2. EVID_CFG_RUNTIME_SETTING_CODE：ランタイム設定コードの場所の証拠（ini_set/set_exception_handler/応答ヘッダーミドルウェアなど）
3. EVID_CFG_IMPACT_ASSOCIATION：影響点関連の証拠（どのルート/応答がこの設定の影響を受けるか）
4. EVID_CFG_SECURITY_SWITCH_EVIDENCE：セキュリティヘッダー/エラーの露出/CORS/危険なスイッチなどの主要な設定の証拠

証拠の欠落の処理（強制、統一基準に従う）

• 設定項目は静的ファイルから直接証拠を取得でき、トレースの完全性には依存しません。
• 上記 1～4 の静的証拠がすべて揃っており、影響パスが明確な場合：直接 ✅悪用可能と確認済み または 🟡高確率 を提示できます。
• 主要な影響点関連（3）が欠落している場合（どの入力/応答が影響を受けるか確認できない場合）：⚠️検証待ち に格下げされます。

レポート出力

{output_path}/vuln_audit/cfg_{timestamp}.md