做 PHP 8.1+ 枚举审计时，先把两个前提核实清楚：一是运行版本必须≥8.1，二是代码里确实存在 enum 定义。

接下来要重点盯住背书枚举对外部输入的处理方式。安全做法是通过 ::tryFrom() 完成反序列化，::from() 不能直接拿来处理不可信输入。

还有两个细节也不能放过：纯枚举本身不能访问 ->value；而 match 分支必须覆盖全部 case，否则既容易埋下逻辑漏洞，也可能在运行时直接报错。

PHP框架审计中漏掉枚举类型检查，会导致状态校验绕过、非法值注入数据库或API响应污染。

尤其当背书枚举未用tryFrom()处理外部输入时，一次拼写错误的status=shppied就能触发ValueError导致500错误，甚至服务中断。

确认项目是否启用PHP 8.1+并存在枚举定义

先打开composer.json，检查php版本约束是否≥8.1。

再全局搜索enum关键字，确认src/、app/或Domain/目录下存在以enum声明的文件。

若项目仍用class常量或数组管理状态，说明尚未迁移到枚举。

此时无需执行后续枚举审计步骤，直接跳转至“权限控制逻辑审计”环节。

运行php -v验证实际运行环境，【必须是8.1或更高版本，否则enum语法解析失败，所有枚举相关审计无意义】。

检查背书枚举是否安全反序列化外部输入

这一步最关键：所有从$_GET、$_POST、JSON body、数据库读取的原始值，只要用于恢复枚举实例，就必须用::tryFrom()而非::from()。

方法一：搜索::from()调用点

全局搜索字符串'.from(' + 枚举类名，例如Status::from(，定位所有显式调用::from()的位置。

逐行检查其参数来源。若来自$_REQUEST、$request->query、$data['status']等不可信输入，立即标记为高危。

方法二：重点审查控制器与DTO逻辑

重点审查控制器动作方法和DTO构造逻辑。

例如Lara vel中AppHttpRequestsUpdateOrderRequest的rules()或prepareForValidation()里，若出现OrderStatus::from($this->status)，必须替换为OrderStatus::tryFrom($this->status)并加空值判断。

方法三：检查ORM模型casts配置

在ORM模型的casts属性中检查是否滥用背书枚举。

比如protected $casts = ['status' => OrderStatus::class]——这是错误用法，Lara vel 10+不支持直接cast为枚举类，应改用自定义访问器或mutator手动调用tryFrom()。

验证纯枚举是否被误用于持久化场景

第一步：识别纯枚举定义

找到所有纯枚举定义，即未声明: string或: int的enum。

例如enum UserRole { case Admin; case User; }。

第二步：检查非法访问

搜索该枚举名后紧跟->value或(string)强制转换的代码行。

若存在，立刻修正——【纯枚举没有->value属性，运行时抛出Error】。

第三步：核对持久化与序列化设计

重点检查数据库迁移文件和实体映射配置。

要是发现 status 字段被定义成 TINYINT，但枚举里的 case 并没有绑定对应的整数值，或者 API 响应里直接写了 json_encode(UserRole::Admin)，那就说明设计上已经出现冲突了。

纯枚举本身没法序列化成标量，这种情况下就不能继续沿用原方案，必须改成背书枚举。

审计枚举方法中的逻辑漏洞

打开含public function的枚举文件，重点关注match($this)分支是否穷尽所有case。

例如：

enum PaymentStatus { case Pending; case Paid; case Failed; public function isFinal(): bool { return match($this) { self::Paid => true, self::Failed => true, }; } }

这段代码漏掉了self::Pending分支，导致isFinal()对Pending返回null而非false。

PHP严格模式下会触发TypeError，宽松模式下逻辑失效。必须补全所有case或添加default分支并明确返回值类型。

同时检查label()、description()等返回用户可见文本的方法，确认内容不含用户输入拼接。

若存在echo $this->label() . $_GET['suffix']，则构成XSS风险。