PHPStan Security

Définition

PHPStan Security est l'application du framework d'analyse statique PHPStan à la détection de vulnérabilités de sécurité dans le code PHP, via des extensions spécialisées comme phpstan-security-checker, phpstan-taint-analysis, et des règles de sécurité custom. PHPStan est l'analyseur statique PHP le plus populaire (alternative à Psalm), capable de détecter des erreurs de type et des problèmes de logique en simulant l'exécution du code PHP sans l'exécuter réellement. L'extension de PHPStan pour la sécurité la plus significative est le Taint Analysis (analyse de contamination) : implémentée dans le projet phpstan-taint-analysis ou dans la version Psalm équivalente, cette analyse suit le flux des données depuis les sources non fiables (entrées utilisateur : $_GET, $_POST, $_COOKIE, $_SERVER, données de base de données) jusqu'aux sinks dangereux (fonctions d'exécution : eval(), system(), exec(), fonctions de sortie HTML : echo, print, fonctions de requête SQL : mysqli_query(), PDO::query() sans paramètres préparés). Quand un chemin de contamination est trouvé entre une source et un sink sans validation intermédiaire, une alerte de sécurité est générée. La communauté PHP a développé plusieurs packages d'extension PHPStan orientés sécurité. phpstan-security-checker (roave/security-advisories) vérifie que les dépendances Composer du projet ne contiennent pas de vulnérabilités connues — une forme de SCA intégrée dans PHPStan. Des règles custom PHPStan peuvent détecter l'utilisation de fonctions PHP dépréciées ou dangereuses (md5() pour du hashing de mots de passe, serialize() sur des données utilisateur, extract() sur des tableaux non validés). PHPStan est particulièrement pertinent pour les applications WordPress, Symfony, et Laravel — les trois stacks PHP les plus répandues — qui ont chacune des patterns de vulnérabilités spécifiques détectables via des règles PHPStan adaptées à ces frameworks.