ty5yidc

是以前如果订阅过 20x，然后中间停了或者换了其它的低套餐的，还可以允许升级，不过下个月会全部变更为 10x

是 2024 年就知道了有这个漏洞，只是当时不知道怎么利用 所以一直挂在社区中，然后 8 月份大模型发现了利用的路径通报给 PHP，然后几家大公司开始着手修复，本来说先通知几个大厂或者各国 ZF 先提前修复，然后 8 月 22 号才公布修复的，有个老登提前把攻击路径泄漏了，所以事情闹的很大

## 一、安装 VS Code 插件

打开 VS Code，点击左侧的**扩展**图标，或按 `Ctrl+Shift+X`（macOS 为 `Cmd+Shift+X`），在扩展商店搜索：

**Claude Code Config Helper**

找到发布者为 **liliangshan** 的扩展，点击**安装**。

安装后，打开扩展入口，按引导配置本地 **Claude Code CLI**、模型服务和 API Key，再打开内置聊天。插件需要可用的 CLI 和模型服务，不是安装后就自带免费模型。

**这个插件不只是聊天窗口：**它提供模型配置、内置浏览器工具和 CC 任务流，方便 AI 读取官方公告、整理处理方案，并在同一工作区逐步推进任务。

项目地址： https://github.com/liliangshan/claude-code-config-helper

## 二、安装 SSH MCP，让 AI 能连接你的服务器

在运行 VS Code 和 Claude CLI 的本地环境准备 **Node.js 20 或更高版本**，打开终端执行：

```bash
npm install -g @liangshanli/mcp-server-ssh
```

安装后可检查命令是否可用：

```bash
mcp-server-ssh --version
```

这个 MCP 支持 Windows、macOS、Linux，无需本地额外安装 PuTTY、WSL 或 SCP。它通过 SSH 连接远端服务器，提供命令执行和 SFTP 单文件上传、下载能力，命令结果包含输出、错误和退出状态。

**MCP 装在本地，PHP 更新发生在远端服务器，两者不要混淆。**远端服务器需要开放可访问的 SSH 服务；文件传输还需要 SFTP 子系统。

项目地址： https://github.com/liliangshan/mcp-server-ssh

npm 地址： https://www.npmjs.com/package/@liangshanli/mcp-server-ssh

## 三、不想手写配置？把下面的提示词交给 AI

先用 VS Code 打开准备使用的项目文件夹，再把下面这段发到插件的聊天窗口。替换其中的项目名称、服务器地址、SSH 账号和密码即可。

这里使用 `npx` 启动 MCP，并采用密码认证。将配置中的提示文字替换为自己的连接信息，**不要把填写了真实密码的配置提交到代码仓库或用于公开分享。**

### 安装与配置提示词

> 请帮我在本地安装并配置 SSH MCP，供当前工作区的 Claude Code 使用。
>
> 1. 先检查 Node.js 和 npm 是否可用，Node.js 需为 20 或更高版本。若不满足，说明原因并停止安装。
> 2. 检查 `mcp-server-ssh` 是否已安装；未安装时执行 `npm install -g @liangshanli/mcp-server-ssh`。如已安装，先报告版本，不擅自升级。安装后用 `mcp-server-ssh --version` 验证。
> 3. 在当前工作区根目录创建或更新 `.mcp.json`，配置内容见下方。如果文件已存在，先读取它，仅合并 `mcpServers.ssh-server`，保留其他 MCP 和配置；同名配置有冲突时先询问我，不要覆盖整个文件。
> 4. 检查 `.gitignore`，按需加入根目录 `/.mcp.json`，保留已有内容。如果该文件已被 Git 跟踪，请提醒我，不要擅自修改 Git 索引。
> 5. 检查 JSON 格式和占位符。尚未填写真实信息时不要尝试连接。不要读取、展示或上传私钥内容，也不要把私钥口令写进聊天。
> 6. 完成后告诉我如何重新启动当前聊天的 Claude CLI 以加载配置，并按客户端提示批准工作区 MCP。此阶段只安装和配置本地工具，不执行任何远程命令。
>
> `.mcp.json` 使用以下结构：

```json
{
"mcpServers": {
"ssh-server": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"@liangshanli/mcp-server-ssh"
],
"env": {
"PROJECT_NAME": "填写项目名称或服务器标识",
"SSH_HOST": "填写服务器 IP 或域名",
"SSH_PORT": "22",
"SSH_USERNAME": "填写 SSH 登录账号",
"SSH_PASSWORD": "填写 SSH 登录密码",
"SSH_SKIP_HOST_VERIFICATION": "true",
"SSH_COMMAND_TIMEOUT_MS": "300000"
}
}
}
}
```

配置说明：

- `.mcp.json` 放在**工作区根目录**，不是 `.vscode/mcp.json`；两者格式和加载方式不同。
- `PROJECT_NAME` 是用于区分服务器的标识；`SSH_HOST`、`SSH_USERNAME`、`SSH_PASSWORD` 分别填写服务器地址、登录账号和密码，建议使用最小权限账号。
- `SSH_COMMAND_TIMEOUT_MS` 为 `300000`，表示命令超时上限为 5 分钟；超时断开不保证远程进程已停止，重试前需要检查实际状态。
- 此示例按简便连接方式设置 `SSH_SKIP_HOST_VERIFICATION=true`，会跳过主机身份校验，存在中间人攻击风险。生产环境建议删除该项，改为设置从可信控制台或管理员处取得的 `SSH_HOST_FINGERPRINT`。
- `npx -y` 会在需要时下载并启动该包，不依赖前面全局安装的命令；正式使用可固定已验证的包版本。
- 如果重启 CLI 后找不到 `npx`，让 AI 检查 Node.js/npm 是否在 VS Code 的 PATH 中。Windows 客户端如无法直接启动 `npx`，可按 MCP README 使用 `cmd /c npx` 方式。
- 如果当前启用了 `strictMcpConfig`，CLI 可能不读取项目 `.mcp.json`。让 AI 检查并说明原因，经你确认后再将同一服务配置合并到 `claudeCodeConfigHelper.chat.mcpServers`，不要静默修改权限或严格模式。

配置保存后，点击扩展聊天界面右上角的**“重新启动”**按钮，重启 Claude CLI，让 MCP 配置生效。重启后，可以先让 AI 调用 `ssh_test_connection` 测试连接和认证；只有启用主机指纹校验时，该测试才会同时校验服务器身份。连接成功后，再进行服务器检查。

## 四、让 AI 检查 PHP 漏洞，并给出修复方案

把下面这段发给 AI：

> 请通过浏览器读取 PHP 官方安全公告： https://www.php.net/archive/2026.php#2026-10-21-5
>
> 仅通过 `ssh-server` MCP 检查我拥有并授权操作的这台服务器，判断是否需要针对 CVE-2026-109618、CVE-2026-109619 更新 PHP。
>
> 先做只读检查：识别操作系统、PHP 安装来源、完整包版本、网站实际使用的 PHP 服务、必要扩展，以及是否有多版本、Docker 或面板管理。不要只根据 `php -v` 判断，发行版回移补丁需要核对厂商公告。
>
> 根据实际环境给出修复方案，包含目标版本或补丁依据、兼容性检查、备份方式、维护窗口、服务重启和恢复方案。将检查结果与计划写入工作区的 `php-security-update-plan.md`。
>
> 检查完成后，同时在该文档中写明升级前需要提前备份的内容，包括相关 PHP 和 Web 服务配置、网站文件、业务数据库，以及适用的容器或服务器快照；根据实际环境列出备份范围、建议方式、保存位置、恢复验证方法和需人工完成的事项。此阶段只编写备份说明，不执行备份；提醒我完成并验证备份后，再进行升级。
>
> 本阶段不要安装更新、替换软件源、修改服务器配置或重启服务；方案完成后等我确认。不要运行攻击性 PoC，也不要输出凭据或敏感业务数据。

这样，AI 拿到的不是一个模糊的“升级 PHP”任务，而是明确的公告、目标服务器和检查范围。

## 五、确认后执行，最后看真实结果

审核计划、确认备份和维护窗口后，再告诉 AI：

> 请按我确认的 `php-security-update-plan.md` 协助修复，只操作 `ssh-server` 对应服务器。
>
> 每次安装升级、修改配置、覆盖文件或重启服务前，先展示具体操作与影响，得到我明确确认后再执行，不擅自换源或跨 PHP 分支升级。
>
> 根据命令返回结果判断是否成功。遇到失败、超时或断线，先核查实际状态，不盲目重试；需要交互式 sudo 或人工输入密码时停止并说明。
>
> 完成后核对实际 Web PHP 服务是否运行修复构建、旧工作进程是否退出、扩展与日志是否正常，并协助检查我批准的网站页面。最后输出执行报告，列明已完成、失败、跳过和未验证的项目，不把临时缓解或仅页面正常写成漏洞已修复。

步骤较多时，可以把计划文件加入聊天上下文，使用插件的 **CC 任务流**组织进度；任务流不代替变更审批和结果验收。

**Claude Code Config Helper 让 AI 看懂问题、组织步骤，SSH MCP 让 AI 在授权范围内操作真实环境。你保留关键决定，AI 协助把事情做完。**

PHP 安全更新只是一个例子。服务器环境检查、日志排查、部署验证，也可以用这套组合从“问 AI 怎么做”，走向“让 AI 协助执行并验证”。

打开 VS Code 扩展商店，搜索 **Claude Code Config Helper**，再安装 **@liangshanli/mcp-server-ssh**，从自己测试服务器的一次只读检查开始。

如何让 AI 帮你修复 PHP 漏洞 CVE-2026-109618、CVE-2026-109619？Claude Code Config Helper + mcp-server-ssh 实用指南

https://blog.csdn.net/qq_42945182/article/details/168663404?spm=1011.2415.3001.5331

随时截图解析图片，token 肯定少不了

VScode + LLS OAI 插件，20 年老程序员现在一点代码都不敲，100% AI

竟然 POST 我的数据，见鬼了，ajax 的数据直接给 POST 了，还好数据都是加密的