PHP 表达式注入（非テンプレート）監査（php-expr-audit）

PHP プロジェクトのソースコードを分析し、「式評価/コンパイル」のエントリポイントを特定します。ユーザーが制御可能な式文字列が式エンジン（または PHP 言語レベルのコード実行関数）に渡され、条件判断、ルーティング決定、権限式を変更したり、機密性の高いセマンティクスを実行したりする可能性があります（式インジェクション/コードインジェクションの類）。

分類と番号付け

• 詳細については、shared/SEVERITY_RATING.md を参照してください。
• 脆弱性番号：{C/H/M/L}-EXPR-{連番}

EXPR Sink（必須）

式エンジンの評価/コンパイルのエントリポイント（優先）と、PHP 言語レベルの「文字列がコード」である実行関数を特定します。

• ExpressionLanguage->evaluate({value})
• ExpressionLanguage->compile({value}) の後の実行/評価の使用箇所
• eval($code)（$code がユーザーによって制御可能な場合）
• assert($assertion)（$assertion が文字列で、ユーザーによって制御可能な場合）
• preg_replace({value}, $replacement, {value}) で非推奨の /e 修飾子を使用する場合（replacement が制御可能な場合）
• および同等の「式解析/評価」エンジン（プロジェクトでカプセル化された evaluate/parse/compile メソッドで、最終的に式文字列を入力として受け取るもの）

必須検査証拠点（必須、trace 契約の整合性）

各 EXPR 疑わしい脆弱性について、php-route-tracer トレースの ## 9) Sink Evidence Type Checklist の EXPR 行に対応する証拠点 ID を項目ごとに引用する必要があります。

1. EVID_EXPR_EVAL_ENTRY：式解析/コンパイル/評価のエントリポイント位置の証拠
2. EVID_EXPR_EXPR_CONTROL：式文字列がユーザー制御可能な入力からのものであるかどうかのマッピング証拠
3. EVID_EXPR_EXEC_CHAIN_ENTRY：式評価チェーンのその後の使用証拠（評価結果がどのように機密性の高いセマンティクス/セキュリティ上重要な分岐に入るか、または最終的な実行点）

制御可能性と注入セマンティクスの確認（必須）

以下を出力し、判断する必要があります。

• 式文字列の出所：リクエストフィールド/JSON フィールド/パラメータ連結後、式入力として使用されるか
• ホワイトリスト/サンドボックスの存在：関数、変数、定数、型が制限されているか。式構文が拒否または置換されているか
• 「評価結果がセキュリティ上重要なロジックに入る」ことの存在：例えば、if/フィルタリング条件、権限判定、テンプレート外の式実行など
• 分岐の回避の存在：特定の分岐で式が制限されていない、または一部の入力のみがサニタイズされているか

tracer トリガー条件（必須）

以下のいずれかの条件が満たされた場合、php-route-tracer（または同等の深度追跡）をトリガーします。

• 式文字列が多層の関数/JSON デコード/連結を経てから evaluate/compile に入る場合
• 式エンジンの評価結果がセキュリティ上重要な条件または機密性の高い操作に関与する場合（トレースで追跡できる必要があります）
• 式制限ロジックに条件分岐が存在する場合（特定の分岐で制限がない、または制限が回避可能である場合）

レポート出力

以下に出力します。

{output_path}/vuln_audit/expr_{timestamp}.md

脆弱性項目テンプレート（必須）

各 EXPR 注入脆弱性には、以下の構造を含める必要があります。

### [{等級プレフィックス}-EXPR-{連番}] 表达式注入漏洞（非テンプレート）

| 項目 | 情報 |
|------|------|
| 深刻度 | {🔴/🟠/🟡/🔵} (CVSS {score}) |
| 到達可能性 (R) | {0-3} - {理由} |
| 影響範囲 (I) | {0-3} - {理由} |
| 悪用複雑度 (C) | {0-3} - {理由} |
| 悪用可能性 | ✅ 確認済み / ⚠️ 検証待ち / ❌ 悪用不可 / 🔍 環境依存 |
| 位置 | {file}:{line} ({Function}) |

#### データフローチェーン（Source → Sink）
(ルートごとに一行ずつ記述：入力読み取り -> 式文字列構築 -> evaluate/compile エントリ -> 評価結果が機密性の高いセマンティクスに入る、省略禁止)

#### 悪用可能な前提条件
- 認証要件：{不要/ログイン必要/特定権限必要}
- 入力制御可能性：{完全に制御可能/条件付きで制御可能/制御不可}
- トリガー条件：{分岐/例外/環境依存}
- サンドボックス/ホワイトリストの信頼性：{信頼できる保護あり/保護欠如/保護回避可能}

#### 証拠引用（必須：php-route-tracer から）
- `EVID_EXPR_EVAL_ENTRY`：{対応する証拠要点の要約}
- `EVID_EXPR_EXPR_CONTROL`：{対応する証拠要点の要約}
- `EVID_EXPR_EXEC_CHAIN_ENTRY`：{対応する証拠要点の要約}

#### 検証 PoC（必須：実行可能なリクエストを提示）
```http
{HTTP Method} {実際のルートと完全なパラメータ} HTTP/1.1
Host: {host}
{必要な Cookie/Auth}

{Payload}

PoC 生成戦略（明確に記述する必要があります）：

• ステップ 1：”プローブペイロード”を使用して、式が実際に評価されることを証明します（例：算術結果、条件分岐結果の変化、戻り値の差異）。
• ステップ 2：プローブが成功した後、”注入ペイロード”を構築して、セキュリティ上重要なセマンティクスを変更できることを証明します（例：フィルタリングの回避/権限判断結果の変更）。具体的なエンジン関数のホワイトリストに依存する必要がある場合は、🔍環境依存/⚠️検証待ち とマークしますが、実行可能な試行方法も提示します。

推奨される修正

• ユーザー入力を直接式文字列として evaluate/compile に渡すことを禁止します。
• 厳格なアローリストを使用します：固定の式テンプレート + パラメータプレースホルダーのみを許可し（パラメータの型/範囲検証も行います）。
• 式エンジンにサンドボックスポリシーを有効にします：関数/変数/アクセス範囲を制限し、危険な操作を無効にします（エンジンがサポートしている場合）。
• 式構文に対して拒否ポリシー（例：制御文字の注入を拒否）を適用し、拒否点の位置を説明します。
• すべての evaluate/compile エントリと式文字列構築点を特定するためのコード検索ステートメント（rg）を提示します。

tracer 証拠欠如の処理（必須）

• trace 契約の EXPR 行において、いずれかの重要な証拠点（EVID_EXPR_EVAL_ENTRY / EVID_EXPR_EXPR_CONTROL / EVID_EXPR_EXEC_CHAIN_ENTRY）が欠如しているか、この脆弱性に対応できない場合：ステータスは ⚠️検証待ち とマークされるだけであり、直接 ✅悪用可能と確認済み とすることはできません。